• Σχόλιο του χρήστη 'bet365' | 1 Φεβρουαρίου 2019, 20:09

    “Chapter 7 Gaming intermediate control system requirements Introduction” “Η συσκευή ασφαλούς αποθήκευσης (Safe) πρέπει να πιστοποιείται από διεθνή οργανισμό” Θα υπάρχει κατάλογος εγκεκριμένων "διεθνών οργανισμών" (πρέπει να είναι ανεξάρτητα εργαστήρια δοκιμών) που επιτρέπεται να πιστοποιούν την ασφάλεια; “Άρθρο 25 Γενική Αρχιτεκτονική 25.3.1.1 Batching – Data batches “Θα υπάρχει μόνο ένα αρχείο xml σε κάθε παρτίδα, για κάθε μοντέλο δεδομένων.” Αντί να διανέμονται οι μεμονωμένες εγγραφές XML σε μία δέσμη XML, συνιστούμε κάθε εγγραφή να είναι ένα ενιαίο αρχείο XML και η παρτίδα να είναι ένα αρχείο zip των συγκεκριμένων αρχείων εγγραφής. Από την εμπειρία μας, αυτό καθιστά την υλοποίηση ευκολότερη και φθηνότερη για τους χειριστές. Καθώς τα μεμονωμένα αρχεία είναι μικρότερα και στοχεύουν σε ένα συγκεκριμένο συμβάν, καθιστά επίσης πολύ πιο εύκολο να φορτωθούν δεδομένα για την Αρχή “25.3.1.4 Συμπίεση και Κρυπτογράφηση δεδομένων” “2..Στη συνέχεια, το παραγόμενο κλειδί AES256 κρυπτογραφείται ασυμμετρικά με τα δημόσια κλειδιά της Αρχής (πιστοποιητικό X.509), σύμφωνα με τη διαδικασία RSA2048 (2048 -bit RSA keys). “
 Αυτό απαιτεί από την Αρχή να εφαρμόσει το δικό της εργαλείο για να αποκρυπτογραφήσει και να φορτώσει τα δεδομένα. 25.3.2 Διασύνδεση του υποσυστήματος data sealing με το Safe “Η διασύνδεση του υποσυστήματος data sealing με το Safe γίνεται μέσω μιας ασφαλούς σύνδεσης εικονικού ιδιωτικού δικτύου (VPN), από άκρο σε άκρο. “ Αυτό πρέπει να δηλώνει ότι η σύνδεση μεταξύ του υποσυστήματος σφράγισης δεδομένων και του Safe είναι ασφαλής (κρυπτογραφημένη σύνδεση), αλλά δεν πρέπει να επιβάλλει συγκεκριμένη τεχνολογία για την επίτευξη της απαίτησης ασφάλειας. Για παράδειγμα, η απαίτηση μπορεί να ικανοποιηθεί με σύνδεση HTTPS. δεν χρειάζεται να είναι ένα VPN. 25.4.1 Τεχνικές προδιαγραφές διάταξης ασφαλούς αποθήκευσης δεδομένων “5. Ο Κάτοχος Άδειας πρέπει να εξασφαλίσει ότι η Αρχή θα έχει ασφαλή πρόσβαση τόσο στη διάταξη ασφαλούς αποθήκευσης των δεδομένων (Safe), όσο και στον εναλλακτικό χώρο αποθήκευσης, σύμφωνα με τα οριζόμενα στην σχετική ενότητα. “
 Προκειμένου να ικανοποιηθεί η πρόσβαση, απαιτείται προηγούμενη κοινοποίηση. “10.Το Safe πρέπει να είναι διαθέσιμο 24/7, 365 ημέρες το χρόνο, με εγγυημένη διαθεσιμότητα τουλάχιστον 99,95%. “ Ποια είναι η περίοδος κατά την οποία υπολογίζεται η διαθεσιμότητα (μηνιαία, τριμηνιαία, ετήσια); “12. Ο Κάτοχος της Άδειας πρέπει να εξασφαλίσει πρόσβαση στο Safe για την Αρχή, ώστε να είναι δυνατή η ακόλουθη σύνδεση: Η Αρχή πρέπει να έχει τη δυνατότητα πρόσβασης στο Safe μέσω μιας FTPS (FTP over SSL) σύνδεσης. Αναλυτικά οι προδιαγραφές της πρόσβασης της Αρχής στα δεδομένα περιγράφονται στη σχετική ενότητα. 
” Το FTPS είναι δύσκολο να ρυθμιστεί τόσο για τους πελάτες όσο και για τους διακομιστές. Σας συνιστούμε να αλλάξετε την απαίτηση για πρόσβαση στο SAFE μέσω HTTPS αντί για FTPS. Η ασφάλεια είναι η ίδια (και τα δύο πρωτόκολλα λειτουργούν μέσω SSL) αλλά το HTTPS είναι πιο εύκολο να υλοποιηθεί για τον χειριστή και την Αρχή και τα ζητήματα σύνδεσης είναι πολύ πιο εύκολο να λυθούν. 25.4.7 Διατήρηση των δεδομένων Γιατί πρέπει να αρχειοθετούνται τα δεδομένα εκτός σύνδεσης; Μπορεί να θέλουμε να το διατηρήσουμε στο διαδίκτυο. Αυτό σημαίνει ότι τα δεδομένα πρέπει να διατηρούνται επί 10 έτη και να διατίθενται στην Αρχή online για τα τελευταία 5 έτη και εντός 2 ημερών για τα παλαιότερα δεδομένα. 25.4.8 Αντίγραφα ασφαλείας “Σε περίπτωση ενός σοβαρού περιστατικού καταστροφής του κύριου αποθηκευτικού χώρου, το χρονικό διάστημα επαναφοράς του σε πλήρη λειτουργία, με όλα τα δεδομένα, όπως ήταν στην προτέρα κατάστασή του, δε μπορεί να ξεπερνά τις πέντε (5) ημερολογιακές ημέρες. “ Απαιτείται περαιτέρω διευκρίνιση - Σε περίπτωση "σοβαρού συμβάντος καταστροφής" δεν θεωρούμε ότι επαρκείς χρόνοι για την αποκατάσταση του κύριου χώρου αποθήκευσης είναι 5 ημέρες. 25.4.10 Διόρθωση δεδομένων / Ακύρωση εγγραφής ¨Δημιουργείται μια νέα πλήρης εγγραφή, με το σύνολο των δεδομένων που υπάρχουν στην προς αντικατάσταση εγγραφή και με ειδική αναφορά στην αρχική καταγεγραμμένη εγγραφή (previous record id). 
” Η εργασία με την αντικατάσταση πλήρους αρχείου είναι πολύπλοκη για τους φορείς εκμετάλλευσης αλλά κυρίως για την Αρχή, διότι απαιτεί από την Αρχή να διατηρεί πλήρη λίστα αναφοράς των προηγούμενων αρχείων και των σχετικών δεδομένων για να γνωρίζει επακριβώς τα δεδομένα που θα αντικαταστήσουν. Συνιστούμε να αναφέρετε όσο το δυνατόν περισσότερο τη διόρθωση δεδομένων ως "deltas". Για παράδειγμα, εάν έχει αναφερθεί τιμή "20 €" και θα πρέπει στη συνέχεια να διορθωθεί σε "15 €", τότε ο φορέας εκμετάλλευσης θα αναφέρει μια διόρθωση "-5 €". 25.4.11 Κατ’ απαίτηση αποστολή δεδομένων “
Η Αρχή μπορεί να ζητά από τον Κάτοχο της Άδειας συμπληρωματικά δεδομένα, εφόσον κρίνεται σκόπιμο. Σε περίπτωση που το μοντέλο των δεδομένων που ζητούνται από την Aρχή, δε συμπεριλαμβάνεται στη λίστα με τα διαθέσιμα μοντέλα δεδομένων, η Aρχή οφείλει να αποστέλλει στον Κάτοχο της Άδειας και το σχετικό μοντέλο δεδομένων. 
 […] Τα αρχεία που αποθηκεύονται στη διάταξη ασφαλούς αποθήκευσης θα πρέπει να φέρουν το χαρακτηριστικό αναγνωριστικό «_od_» στην ονομασία τους, στη συνέχεια του αναγνωριστικού , ώστε να διασφαλιστεί η αναγνώρισή τους ως «κατ’ απαίτηση δεδομένα». 
” Απαιτούνται περαιτέρω διευκρινίσεις - Τα κατ’ απαίτηση δεδομένα είναι πιθανώς μια εφάπαξ ή προσωρινή ανάγκη για περισσότερες πληροφορίες που απαιτούν γρήγορη ανάκαμψη. Δεδομένου ότι η εφαρμογή νέων μοντέλων δεδομένων στο Safe διαρκεί σημαντικό χρονικό διάστημα και μπορεί να απαιτεί μια άλλη πιστοποίηση από διεθνή οργανισμό, συνιστούμε να παρέχονται πληροφορίες στην Αρχή μέσω ενός καναλιού διαφορετικού από το Safe. 25.5 Gateway “…Συγκεκριμένα, θα πρέπει να παρέχεται στην Αρχή η δυνατότητα της παρακολούθησης και της εγγραφής για πεπερασμένο χρονικό διάστημα, όλων των συναλλαγών (κίνηση διαδικτύου) που λαμβάνουν χώρα, σε πραγματικό χρόνο, από τους παίκτες και διοχετεύονται, μέσω της πύλης, στην κεντρική πλατφόρμα του παρόχου.” Απαιτούνται περαιτέρω διευκρινίσεις - Αυτό απαιτεί να εισαχθούν σημαντικές ανησυχίες για την προστασία των δεδομένων και PCI και θα μπορούσαν ενδεχομένως να οδηγήσουν σε μη συμμόρφωση και στις δύο πλευρές (Operator & Regualtor). 25.6.1 Μέθοδοι και διαχείριση της πρόσβασης στα δεδομένα “Η μεταφορά δεδομένων μεταξύ του Safe και της Αρχής πρέπει να πραγματοποιείται μέσω του Διαδικτύου, με ελάχιστη ταχύτητα 8 Mbit / δευτερόλεπτο. Ο Κάτοχος της Άδειας πρέπει να διασφαλίζει ότι η σύνδεση είναι κατάλληλη για την ομαλή μεταφορά των δεδομένων. “ Απαιτούνται περαιτέρω διευκρινίσεις - Δεν είμαστε σε θέση να ελέγξουμε τις ταχύτητες του διαδικτύου από τους τελικούς χρήστες. 25.6.2 Διαθεσιμότητα της πρόσβασης στα δεδομένα “Όπως αναφέρθηκε και παραπάνω, η διαθεσιμότητα τόσο της διάταξης ασφαλούς αποθήκευσης, όσο των λοιπών υποσυστημάτων του ενδιάμεσου συστήματος ελέγχου, αλλά και της πύλης Gateway, πρέπει να είναι τουλάχιστον 99,95%. Στην περίπτωση της πρόσβασης στα δεδομένα, η Αρχή θα πρέπει να διαθέτει διαβαθμισμένη πρόσβαση και στον εναλλακτικό χώρο αποθήκευσης, σε περίπτωση μη διαθεσιμότητας του κύριου αποθηκευτικού χώρου. “ Απαιτούνται περαιτέρω διευκρινίσεις - 99,95% σε σχέση με το χρονικό διάστημα; Επίσης, τι σημαίνει "διαβαθμισμένη πρόσβαση"; 25.6.3 Συμπληρωματικοί τρόποι πρόσβασης στα δεδομένα Απαιτούνται περαιτέρω διευκρινίσεις - Θα πρέπει να κατανοήσουμε πώς θα επιτευχθεί αυτή η απαίτηση. 25.6.5 Συντήρηση της διάταξης ασφαλούς αποθήκευσης (Safe) από τον Κάτοχο Άδειας 
 “Πίνακας 1” Απαιτούνται περαιτέρω διευκρινίσεις - Σημαίνει ότι δεν επιτρέπεται στον φορέα εκμετάλλευσης να διορθώσει έκτακτη ανάγκη πριν εγκριθεί από την Αρχή; 25.6.6 Έκτακτα περιστατικά της διάταξης ασφαλούς αποθήκευσης (Safe) Απαιτούνται περαιτέρω διευκρινίσεις - πιστεύουμε ότι αυτός ο πίνακας αντιφάσκει με το ποσοστό διαθεσιμότητας στην απαίτηση 25.6.2 επίσης. Τι σημαίνει για να επιλυθεί έκτακτη ανάγκη σε ποσοστό 95%; 25.7.2.3 Αναλυτική περιγραφή μοντέλου δεδομένων xsd “/xenc:EncryptedKey Σαν όνομα του για την αναγνώριση του συμμετρικού κλειδιού χρησιμοποιούμε τον αύξοντα αριθμό του αρχείου ελέγχου (π.χ. 20), με την προσθήκη του προθέματος K (Key). “ Το μεταφερόμενο κλειδί δεν χρειάζεται ένα όνομα, υπάρχει μόνο ένα συμμετρικό κλειδί και περιέχεται στο αρχείο manifest.xml. Συνιστούμε στην Αρχή να χρησιμοποιεί το μοντέλο Schleswig Holstein για κρυπτογράφηση και υπογραφή χωρίς τροποποίηση, έχει χρησιμοποιηθεί με απόλυτη επιτυχία και με αποδείξεις όλα αυτά τα χρόνια. “/xenc:EncryptedData “Στο τελικό στοιχείο προστίθεται ένα αναγνωριστικό Id, βάσει του οποίου θα γίνει η σύνδεση των διαδοχικών πακέτων (chaining), όπως παρουσιάζεται παρακάτω στην περιγραφή του στοιχείου . ………. Στην περίπτωση που έπρεπε να γίνει κάποια αναφορά στο αρχείο ελέγχου (manifest), χρησιμοποιούμε τον αύξοντα αριθμό του αρχείου ελέγχου (20), με την προσθήκη του προθέματος C (Control). “ Η ετικέτα URI είναι ήδη η απαιτούμενη αναφορά στα δεδομένα παρτίδας και τον αριθμό σειράς. Η αλληλεπικάλυψη του ίδιου στοιχείου στο ίδιο αρχείο XML δεν προσθέτει περαιτέρω αξία ή πληροφορίες. Συνιστούμε στην Αρχή να χρησιμοποιεί το υπάρχον και αποδεδειγμένο μοντέλο Schleswig Holstein για κρυπτογράφηση και υπογραφή χωρίς καμία τροποποίηση. Notes: Όλες οι εξωτερικές συνδέσεις στα συστήματά μας (ICS, THAM, PPSE, IAPR κ.λπ.) χρειάζονται περισσότερη σαφήνεια και κατανόηση των απαιτήσεων.