即時支払い通知（IPN）をホワイトリストする方法

Question

当サイトは即時支払い通知（IPN）を処理する必要があります。

セキュリティ上の理由から、Paypalから弊社サイトへのアクセスのみを許可する必要があります。 （つまり、他のネットワークロケーションからのHTTP POSTリクエストをブロックする必要があります）

Paypalは、自分のサーバーのIPアドレスリストを公開しています。 しかし、PaypalはサーバのIPアドレスを頻繁に変更する可能性があり、事前にレポートを作成しないため、DNS結果の使用を推奨しています[1]。

PayPalは、多くの場合、そのレコードを変更し、上記の要件を達成するために変更

の事前通知を提供していない、我々は自動的に特定のドメイン名のIPアドレスの変更を検出するシステムを統合する必要があります（ipnpb.paypal.comのような）、私たちのサーバーのファイアウォール設定を更新します。

（具体的には、私たちのサイトはAWS上に集積されており、私たちは、ファイアウォールの設定以外の設定のセキュリティグループを使用します。）

しかし、私たちは本当にこれをしなければならないのですか？ 誰かがこの問題のより高度な解決法を知っていますか？

[1] https://www.paypal-knowledge.com/infocenter/index?page=content&widgetview=true&id=FAQ1056 [2] https://www.paypal-knowledge.com/infocenter/index?page=content&id=FAQ1006&pmv=print&impressions=false&viewlocale=en_US

Answer 1

を私たちは許すべきではセキュリティ 理由で私たちのサイトにペイパルからのみアクセスします。 （すなわち、私たちは、他のネットワークからのHTTP POSTリクエスト 場所をブロックする必要があります。）

私は公衆にあなたのIPNリスナーが開いたから、セキュリティ上のリスクがあるとは思いません。私はこれが一般的な設定であると確信しています。

あなたが注意したように、PayPal自体は現在のIPNサービスのタイムリーなリストを提供していません。これにより、セキュリティグループ内のソースIP範囲の正確な一覧を持つことが不可能になります。

また、IPN検証要求の性質により、攻撃の可能性は低くなります。リクエストを、既知のPayPal URL（ipn.paypal.com）にポストバックして、トークンとデータを検証する必要があります。

要求を確認しない場合は、要求を無視します。この要素は、PayPalが最初にそれらから発生しなかった要求を拒否することを意味します。

私たちのすべてのIPNリスナーは何の事件も攻撃もなく何年も公開されています。私たちはすべての共鳴可能なセキュリティポリシーに従い、毎月のPCI脆弱性スキャンでPCI対応の支払いプラットフォームを運用しています。

システムが他のすべての点で十分にセキュリティが確保されている場合は、IPNリスナーを公開したままにしておくと、セキュリティ上のリスクはごくわずかです。