1. Những gì chúng tôi lưu giữ, và trong bao lâu
Bốn loại tài liệu nhạy cảm đi qua dịch vụ này: mã voucher, giấy tờ tùy thân cùng các thông tin đọc được từ đó, hồ sơ đơn hàng, và nhật ký kiểm toán ghi lại ai đã tiếp cận cái gì. Hồ sơ đơn hàng lưu thương hiệu voucher, mệnh giá, đích thanh toán quý khách đã cung cấp cho chúng tôi, kết quả xác minh, và các dấu thời gian quanh việc đó.
Mỗi loại có một vòng đời khác nhau. Mã voucher có vòng đời ngắn nhất trong bốn loại. Nó tồn tại từ khoảnh khắc quý khách gửi nó cho đến khi đơn hàng được tất toán, và sau đó nó bị hủy. Mọi thứ còn lại là hồ sơ, và hồ sơ được lưu giữ trong năm năm, bởi một đơn vị vận hành trong lĩnh vực này phải có khả năng tái dựng lại những gì mình đã làm và vì sao.
Chúng tôi không lưu giữ bất cứ thứ gì có thể khiến tiền rời khỏi tài khoản của quý khách. Đích thanh toán là một địa chỉ, không phải một thông tin đăng nhập: một địa chỉ ví, một IBAN, một địa chỉ PayPal. Chúng tôi không hỏi số thẻ, mật khẩu ngân hàng trực tuyến, mã PIN, hay mã dùng một lần mà ngân hàng gửi cho quý khách. Bất kỳ ai hỏi quý khách một trong những thứ đó nhân danh chúng tôi đều không phải là chúng tôi.
2. Một mã voucher, từ lúc gửi đến lúc bị hủy
Một mã đi theo một con đường duy nhất, và con đường đó ngắn.
- Quý khách gửi nó. Mã đi từ trình duyệt của quý khách đến máy chủ của chúng tôi qua một kết nối được mã hóa. Nó được nhập vào biểu mẫu đơn hàng trên trang này và không ở nơi nào khác.
- Nó được mã hóa khi đến. Trước khi mã được ghi vào lưu trữ, nó được mã hóa. Nó không được ghi vào nhật ký ứng dụng, báo cáo lỗi, bản sao lưu của nhật ký, hay email.
- Một nhân viên vận hành nhận đơn. Mã chỉ có thể đọc được bởi nhân viên vận hành đang xử lý đơn hàng đó, và chỉ trong khi đơn hàng còn mở. Nó không hiển thị với các nhân viên khác, và không hiển thị trên bất kỳ màn hình nào quý khách có thể tiếp cận.
- Mỗi lần đọc đều được ghi lại. Mỗi lần mã được giải mã và hiển thị, một mục được ghi vào nhật ký kiểm toán: nhân viên nào, đơn hàng nào, vào lúc nào.
- Nhân viên vận hành xác minh mã với đơn vị phát hành. Việc xác minh do một con người thực hiện, qua điện thoại hoặc qua kênh riêng của đơn vị phát hành, trước khi bất kỳ khoản tiền nào được chuyển. Cách chúng tôi kiểm tra một voucher trình bày chi tiết bước đó.
- Hai người, không phải một, tất toán đơn. Nhân viên phê duyệt đơn hàng không thể là nhân viên giải ngân.
- Mã bị hủy. Khi đơn hàng đã tất toán, mã được xóa khỏi lưu trữ. Thứ còn lại là hồ sơ của đơn hàng, chứ không phải mã đã cấp vốn cho nó.
Có một điều ở đây đáng được nói thẳng: một con người thực sự đọc mã của quý khách. Xác minh nghĩa là đọc mã cho đơn vị phát hành, nên không thể khác được. Câu hỏi không phải là liệu có ai nhìn thấy nó hay không. Câu hỏi là có bao nhiêu người, trong bao lâu, và với hồ sơ ghi nhận nào — và câu trả lời là một người, cho đến khi tất toán, và mọi lần truy cập đều được ghi nhật ký.
3. Mã hóa khi lưu trữ, và những gì nó không làm được
Mã hóa khi lưu trữ nghĩa là những gì nằm trong kho lưu trữ đều là bản mã. Một bản sao cơ sở dữ liệu, một tệp sao lưu, hay một ổ đĩa được tháo ra khỏi máy đều không đọc được nếu không có khóa, và các khóa được giữ tách khỏi dữ liệu mà chúng bảo vệ, nên có được cái này không có nghĩa là có được cái kia.
Đó là toàn bộ những gì nó làm được, và cần nói rõ nó để nguyên những gì.
Mã hóa khi lưu trữ không bảo vệ dữ liệu đang được sử dụng. Một ứng dụng đang chạy phải có khả năng giải mã một mã để hiển thị nó cho nhân viên đang xác minh, nên kẻ tấn công chiếm được quyền kiểm soát ứng dụng đang chạy sẽ nằm bên trong cùng một ranh giới với ứng dụng. Nó không bảo vệ trước việc một người có quyền truy cập hợp pháp lạm dụng quyền đó. Và nó hoàn toàn không làm được gì với những gì đã xảy ra với một mã trước khi mã đó đến chỗ chúng tôi.
Những khoảng trống đó là lý do các biện pháp kiểm soát khác tồn tại. Quyền truy cập hẹp, mỗi lần đọc đều được ghi nhật ký, vòng đời ngắn, và hai người cùng xử lý tiền không phải là đồ trang trí quanh việc mã hóa. Chúng là những phần bù đắp cho những gì mã hóa không làm được.
4. Vì sao chúng tôi lưu dấu vân tay của số giấy tờ, chứ không lưu chính con số đó
Bởi vì chúng tôi cần nhận ra một giấy tờ khi nó xuất hiện lần nữa mà không phải lưu giữ con số định danh nó.
Dấu vân tay là kết quả của một phép tính một chiều. Cùng một số giấy tờ luôn cho ra cùng một dấu vân tay, và dấu vân tay không thể chuyển ngược lại thành con số. Như thế là đủ cho công việc chúng tôi thực sự cần làm: để thấy rằng cùng một hộ chiếu đã được xuất trình trên hai tài khoản khác nhau, hoặc một giấy tờ chúng tôi từng từ chối nay quay lại, hoặc giấy tờ trong hồ sơ chính là giấy tờ đang ở trước mặt chúng tôi.
Có một cách tấn công hiển nhiên nhằm vào ý tưởng đó, và chúng tôi nên gọi tên nó. Số giấy tờ thì ngắn và theo một định dạng có thể đoán trước, nên ai đó nắm trong tay một bảng dấu vân tay trần có thể duyệt qua mọi con số có thể có, tính dấu vân tay cho từng số, và tìm một kết quả trùng khớp. Đó là lý do phép tính có bao gồm một giá trị bí mật được giữ tách khỏi cơ sở dữ liệu. Không có nó, một bảng dấu vân tay bị đánh cắp chỉ là một bảng giá trị vô nghĩa.
Dấu vân tay chưa phải toàn bộ câu chuyện, bởi bản thân hình ảnh giấy tờ vẫn tồn tại. Đó là chủ đề của mục tiếp theo.
5. Cách giấy tờ tùy thân được lưu trữ và cung cấp
Chúng được lưu bên ngoài thư mục gốc của web, và đó là phần thiết thực của câu trả lời.
Một máy chủ web công bố tệp từ một thư mục. Bất cứ thứ gì bên trong thư mục đó chỉ cách việc trở nên công khai đúng một địa chỉ bị đoán ra hoặc bị rò rỉ, bất kể ý định là gì. Giấy tờ tùy thân không nằm trong thư mục đó. Không có địa chỉ web nào trỏ tới chúng, nên không có địa chỉ nào để chia sẻ, chuyển tiếp, lập chỉ mục hay dò tìm bằng vét cạn.
Để xem một giấy tờ, nhân viên phải đăng nhập, và yêu cầu đi qua một tuyến kiểm tra phiên làm việc, kiểm tra xem người đó có quyền xem giấy tờ đó hay không, ghi một mục vào nhật ký kiểm toán, rồi mới trả về hình ảnh. Mục nhật ký được ghi bất kể có ai từng đọc nhật ký hay không. Các tệp cũng được mã hóa khi lưu trữ.
Chúng tôi không dùng các đường liên kết không thể đoán được cho giấy tờ. Một liên kết hoạt động với bất kỳ ai nắm giữ nó cũng là một liên kết hoạt động với bất kỳ ai nó được chuyển tiếp tới, kể cả do vô tình. Mọi lượt xem đều đi qua tuyến đã xác thực và có ghi nhật ký, hoặc không diễn ra.
Vì sao giấy tờ lại cần thiết ngay từ đầu là một câu hỏi riêng, được trả lời trong chính sách xác minh danh tính. Giấy tờ được lưu giữ đối với những khách hàng có tổng giá trị lũy kế trong chu kỳ trượt mười hai tháng chạm mức EUR 1,000. Dưới con số đó, khách hàng giao dịch dựa trên họ tên đầy đủ và quốc gia cư trú do mình khai báo, và không có giấy tờ nào để lưu trữ.
6. Nhật ký kiểm toán, và vì sao nó chỉ ghi thêm và được nối bằng chuỗi băm
Nhật ký kiểm toán ghi lại ai đã xem gì, và nó được xây dựng sao cho các mục không thể bị âm thầm xóa bỏ hoặc sửa đổi.
Chỉ ghi thêm nghĩa là các mục được thêm vào và không bao giờ được cập nhật hay xóa. Trong ứng dụng không có đường đi thông thường nào cho phép sửa một dòng đã ghi, bởi giá trị của nhật ký nằm ở chỗ nó nói điều đã xảy ra chứ không phải điều ai đó mong đã xảy ra.
Nối bằng chuỗi băm nghĩa là mỗi mục mang một dấu vân tay được tính trên chính nội dung của nó cùng với dấu vân tay của mục liền trước. Các mục tạo thành một chuỗi. Sửa một dòng thì dấu vân tay của nó không còn khớp, và mọi dấu vân tay sau nó cũng không còn khớp. Chuỗi có thể được tính lại từ đầu đến cuối và đem ra đối chiếu.
Điều này không làm cho việc can thiệp trở nên bất khả thi. Một người có quyền truy cập đủ sâu có thể viết lại toàn bộ chuỗi kể từ điểm bị sửa trở đi. Thứ mà nó khiến trở nên khó là việc can thiệp âm thầm — một lần sửa lặng lẽ không để lại dấu vết — bởi một lần sửa đơn lẻ không phải là hình dạng khả dĩ của thiệt hại.
Những gì được ghi vào nhật ký bao gồm mọi lần truy cập một mã voucher, mọi lượt xem một giấy tờ tùy thân, mọi lần phê duyệt, mọi lần giải ngân, các sự kiện phiên làm việc, và các quyết định tuân thủ. Nhật ký là một phần của hồ sơ năm năm.
7. Bốn mắt trên mỗi lần tất toán
Nhân viên phê duyệt một đơn hàng không thể là nhân viên giải ngân cho đơn đó. Hai người, hai tài khoản, hai mục nhật ký kiểm toán.
Lý do thì hẹp và thiết thực. Một tài khoản nhân viên bị chiếm quyền, hay một tài khoản nhân viên không trung thực, tự nó không thể chuyển tiền. Nó có thể đưa một đơn hàng tới sát ngưỡng tất toán, và dừng lại ở đó, trước mặt một người khác buộc phải xem xét đơn ấy.
Một quy tắc thứ hai đứng cạnh quy tắc đó: một hồ sơ tuân thủ đang mở sẽ đóng băng việc tất toán. Trong khi hồ sơ còn mở, không có gì được giải ngân trên đơn hàng đó — không bởi người đã mở hồ sơ, cũng không bởi bất kỳ ai khác. Đóng băng thì dễ, còn gỡ đóng băng đòi hỏi hồ sơ phải được khép lại theo đúng điều kiện của chính nó.
Khoản tiền mà một người có thể tự mình chuyển đi là khoản tiền mà một sai lầm có thể chuyển đi.
8. Phiên làm việc, và vì sao chúng có thể bị thu hồi
Ở đây, một phiên làm việc là một bản ghi trên máy chủ của chúng tôi, không phải một tấm vé khép kín được mang theo trong trình duyệt của quý khách. Cookie trong trình duyệt của quý khách chứa một mã định danh ngẫu nhiên, tự nó không mang ý nghĩa gì; ý nghĩa nằm ở phía chúng tôi, gắn với mã định danh đó.
Thiết kế đó có một đặc tính quan trọng hơn mọi đặc tính khác: vì bản ghi thuộc về chúng tôi, chúng tôi có thể kết thúc nó. Đăng xuất là kết thúc một phiên làm việc chứ không phải yêu cầu trình duyệt của quý khách quên đi điều gì đó. Đổi mật khẩu sẽ kết thúc các phiên khác trên tài khoản của quý khách. Khi một nhân viên mất quyền truy cập, các phiên của người đó kết thúc ngay tại thời điểm ấy, chứ không phải vào lúc một mã thông báo lẽ ra sẽ hết hạn. Một mã thông báo khép kín thì không thể thu hồi sau khi đã cấp; nó vẫn còn hiệu lực cho đến khi hết hạn, và đó là hành vi sai vào đúng ngày quý khách cần nó biến mất.
Cookie phiên làm việc được đánh dấu sao cho các đoạn mã trên trang không thể đọc nó, sao cho nó chỉ được gửi qua kết nối được mã hóa, và sao cho các trang khác không thể khiến trình duyệt của quý khách gửi nó đi. Phiên làm việc kết thúc sau một khoảng thời gian không hoạt động, và kết thúc lần nữa khi chạm một giới hạn tuyệt đối bất kể có hoạt động hay không. Phiên của nhân viên chịu giới hạn chặt hơn phiên của khách hàng, và quyền truy cập của nhân viên vào một đơn hàng kết thúc khi đơn hàng đó kết thúc.
9. Phần thuộc về quý khách
Một phần trong số này chỉ có tác dụng nếu quý khách làm tròn phần của mình.
- Hãy dùng một mật khẩu mà quý khách không dùng ở bất kỳ nơi nào khác. Một mật khẩu dùng lại ở nơi khác chỉ an toàn ngang với trang yếu nhất đang giữ nó, và không một biện pháp kiểm soát nào ở phía chúng tôi có thể phân biệt một mật khẩu đúng với một mật khẩu bị đánh cắp.
- Hãy bảo vệ tài khoản email gắn với tài khoản của quý khách ở đây. Đó là đường khôi phục, và điều đó khiến nó là lối vào mềm nhất. Hãy bật bất cứ lớp xác thực thứ hai nào mà nhà cung cấp email của quý khách có.
- Chỉ gửi một mã một lần, trong biểu mẫu đơn hàng, trên trang này. Không bao giờ gửi qua email, tin nhắn, ảnh chụp màn hình hay cuộc gọi điện thoại — kể cả gửi cho chúng tôi.
- Hãy nhìn thanh địa chỉ trước khi nhập một mã, và vào trang này từ dấu trang của chính quý khách thay vì từ một liên kết ai đó gửi cho quý khách.
- Không ai ở đây sẽ hỏi mật khẩu của quý khách. Không ai ở đây sẽ yêu cầu quý khách mua một voucher rồi đọc mã lên. Không ai ở đây sẽ gọi điện cho quý khách và bảo quý khách chuyển tiền đi để giữ cho tiền an toàn. Những ai không bao giờ yêu cầu voucher đáng đọc trước khi quý khách cần đến nó.
- Nếu quý khách cho rằng có người khác đã xâm nhập tài khoản của mình, hãy viết ngay cho [email protected]. Nếu quý khách cho rằng mình đã bị lừa đảo, hãy viết cho [email protected].
10. Những gì điều này không bảo vệ được
Một mã đã rời khỏi tay quý khách. Một mã voucher có thể được tiêu bởi bất kỳ ai đã đọc nó. Nếu quý khách đã đưa nó cho ai đó trước khi đến đây, việc mã hóa ở phía chúng tôi không thể thu hồi nó, và việc xác minh có thể phát hiện giá trị đã bị tiêu mất. Tôi đã trót gửi một mã voucher giải thích những gì vẫn còn có thể làm.
Một khách hàng bị lừa để tự mình gửi mã. Mọi biện pháp kiểm soát mô tả ở trên đều hoạt động đúng trong trường hợp này, và chính điều đó khiến nó khó. Đúng người đang đăng nhập, trên tài khoản của chính họ, với giấy tờ của chính họ, cầm một voucher do chính họ mua. Việc xác minh xác nhận voucher là hợp lệ. Nó không thể xác nhận vì sao quý khách bán nó. Những kẻ lừa đảo dẫn dắt người ta qua đúng kịch bản này — cơ quan thuế phải nộp ngay hôm nay, nhân viên kỹ thuật hỗ trợ vừa phát hiện một virus, người mà quý khách trò chuyện suốt nhiều tuần nay đang gặp chuyện khẩn cấp ở nước ngoài. Các câu hỏi và các bước kiểm tra của chúng tôi bắt được một phần. Chúng không bắt được tất cả. Nếu một nhân viên hỏi vì sao quý khách bán, đó không phải là tò mò, và một câu trả lời ngắn gọn, trung thực là cách nhanh nhất để đi tiếp. Lừa đảo bằng voucher trình bày các mô-típ.
Chính thiết bị của quý khách. Phần mềm độc hại trên máy tính hay điện thoại của quý khách nhìn thấy những gì quý khách nhìn thấy, kể cả một mã khi quý khách đang gõ nó.
Một bản giả mạo thuyết phục của trang này. Một kết nối được mã hóa cho quý khách biết rằng kết nối đó là riêng tư. Nó không cho quý khách biết ai đang ở đầu bên kia.
Chính chúng tôi. Không một đơn vị vận hành nào có thể thành thật hứa rằng hệ thống của mình sẽ không bao giờ bị xâm nhập, và chúng tôi sẽ không phải là đơn vị đầu tiên làm thế. Điều chúng tôi có thể làm là giới hạn mức độ lan xa của một vụ xâm nhập: các mã chỉ tồn tại trong thời gian ngắn, quyền truy cập thu hẹp về một người và được ghi nhật ký, khóa được giữ tách khỏi dữ liệu, một nhật ký chống lại việc sửa lặng lẽ, và hai người mới giải ngân được.
11. Những gì chúng tôi không tuyên bố
Chúng tôi không có chứng nhận an ninh nào, và không có chứng nhận nào được tuyên bố ở bất kỳ đâu trên trang này. Chưa có cuộc kiểm toán độc lập nào đối với các hệ thống này được hoàn tất. Không có kết quả kiểm thử xâm nhập nào đang được báo cáo. Không có tiêu chuẩn nào được ngụ ý qua cách diễn đạt bất kỳ phần nào ở đây. Nếu điều đó thay đổi, trang này sẽ nêu tên chứng nhận, tiêu chuẩn hoặc công ty, kèm ngày tháng.
Hoạt động này không thuộc diện phải cấp phép, và không có giấy phép nào được tuyên bố.
Trang này mô tả cách dịch vụ được xây dựng để vận hành. Nó không mô tả một lịch sử hoạt động, bởi lịch sử đó chưa tồn tại. Không điều gì ở đây nên được hiểu là một tuyên bố về khối lượng đã xử lý, số vụ lừa đảo đã ngăn chặn, hay số khách hàng đã phục vụ.
Chúng tôi không phục vụ Pháp, các khu vực tài phán thuộc diện FATF kêu gọi hành động, các khu vực tài phán bị trừng phạt toàn diện, hoặc các thị trường nơi chúng tôi không có giấy phép sở tại.
12. Báo cho chúng tôi khi có điều gì sai
Nếu quý khách phát hiện một lỗ hổng trên trang này, hãy viết cho [email protected] kèm đủ chi tiết để tái hiện nó. Chúng tôi không vận hành chương trình thưởng lỗi có trả tiền và chúng tôi sẽ không giả vờ ngược lại. Điều chúng tôi sẽ làm là đọc những gì quý khách gửi, hành động dựa trên đó, và không cho luật sư truy đuổi quý khách vì đã báo lỗi một cách ngay tình.
Đối với nghi ngờ gian lận trên một đơn hàng, hãy viết cho [email protected]. Đối với các câu hỏi về những gì chúng tôi lưu giữ về quý khách và những gì quý khách có thể yêu cầu chúng tôi làm với dữ liệu đó, xem quyền riêng tư hoặc viết cho [email protected]. Để khiếu nại về cách một việc đã được xử lý, hãy viết cho [email protected]. Câu hỏi chung gửi tới [email protected].
VoucherPay LLC hoạt động từ Hoa Kỳ tại 1801 Peninsula Verde Dr.