I think John pretty much nailed it (Do we have a "honorary Amarok developer" title? :-) The only case in which any personal information is stored is if amarok is configured and buildt with Debug=full in wich case the purchase url is printed to the log. It does store the Amarok reply xml data to use for later redownlaoding of a purchased track, but this does not contain any personal information at all.

<br><br>Pascal, I will look at your patch and merge it into svn. We are also preparing a patchset for the released 1.4.4 version and I will make sure to include it there as well.<br><br>- Nikolaj<br><br><span id="_user_guru@unixtech.be" style="color: rgb(0, 104, 28);">

</span><br><br><br><br><br><br><br>On 11/11/06, Pascal Bleser <<a href="mailto:guru@unixtech.be">guru@unixtech.be</a>> wrote:<br>> -----BEGIN PGP SIGNED MESSAGE-----<br>> Hash: SHA1<br>> <br>> John Buckman wrote:

<br>> >> The reason is that it is not really clear how the whole thing is<br>> >> handled. Most specifically, whether e.g. credit card information can be<br>> >> seen by people from the amarok developer team in some magnatune

<br>> >> transaction history or something.<br>> >><br>> >> <a href="http://lists.opensuse.org/opensuse/2006-11/msg00224.html">http://lists.opensuse.org/opensuse/2006-11/msg00224.html</a><br>> >> 

<a href="http://lists.opensuse.org/opensuse/2006-11/msg00228.html">http://lists.opensuse.org/opensuse/2006-11/msg00228.html</a><br>> >> <a href="http://lists.opensuse.org/opensuse/2006-11/msg00234.html">http://lists.opensuse.org/opensuse/2006-11/msg00234.html

</a><br>> >> <a href="http://lists.opensuse.org/opensuse/2006-11/msg00244.html">http://lists.opensuse.org/opensuse/2006-11/msg00244.html</a><br>> ><br>> > The beauty of open source is that you can just look at the source and

<br>> > find out. :D<br>> <br>> Sure, I was about to check the source code anyway.<br>> I was actually asking about what happens on magnatune's side of things<br>> (transaction history if it was made through an amarok developer's

<br>> account at magnatune).<br>> This was fixed in the stable version, so that's fine ;)<br>> <br>> > in the function:<br>> > void MagnatunePurchaseHandler::processPayment<br>> > in<br>> > src/magnatunebrowser/magnatunepurchasehandler.cpp

<br>> ><br>> > Is where things happen.  The purchase info is submitted via https with:<br>> ><br>> >   QString purchaseURL = "<a href="https://magnatune.com/buy/buy_dl_cc_xml?cc=">https://magnatune.com/buy/buy_dl_cc_xml?cc=

</a>"<br>> > + ccNumber + "&mm=" + expMonth + "&yy="+ expYear + "&sku=" + albumCode<br>> > + "&name=" + name + "&email=" + email + "&id=amarok&amount=" +

<br>> > amountString;<br>> ><br>> > the only logging I see is if debug logging is on, in which case the<br>> > purchase url is stored in the debug log.<br>> >    debug() << "purchase url : " << purchaseURL << endl;

<br>> <br>> Ewwww... Ok. That one must be removed (ccNumber, expMonth and expYear).<br>> <br>> See patch in attachment.<br>> <br>> > The communication is direct between the client machine and magnatune,

<br>> > and does not touch anyone else.  The call to Magnatune's HTTPS side is<br>> > via the KDE storedGet() call:<br>> ><br>> > m_resultDownloadJob = KIO::storedGet( KURL(purchaseURL), false, false );

<br>> <br>> Hmm.. ok. To be really sure that stuff isn't logged anywhere, one would<br>> need to check whether KURL() and KIO::storedGet() don't log.<br>> <br>> > I'm CCking Nikolaj (the Amarok developer who did the Magnatune

<br>> > integration work) in case there is other logging going on that I don't see.<br>> <br>> I didn't see anything else in src/magnatunebrowser/*<br>> The only place left could be KURL() or KIO::storedGet()

<br>> <br>> >> It's not that I'm paranoid nor that I'm implying any bad intentions<br>> >> but.. well.. IMO it must be as transparent as possible ;)<br>> >> I couldn't find any detailed information about the transaction process

<br>> >> and how the personal data of the users is secured.<br>> >> Could you please take a few minutes to enlighten us about it ? (or point<br>> >> me to a link if I didn't look hard enough)<br>

> ><br>> > Nikolaj, can you help? I don't see any saving of personal data myself,<br>> > it looks more like you implemented a form that submits via HTTPS GET,<br>> > and the security and issues are the same as when using a web browser.

>  > The HTTPS GET is fine of course. > Amarok does the SSL handshake and then sends the GET line that includes > the sensitive data through the SSL tunnel. >  > The logging must be removed though.

<br>> It's not *that* critical as the CVV/CVV2/CVC2 number is not submitted<br>> (that's the credit card verification number) and if someone gets the<br>> credit card data submitted by amarok through gaining remote access and

> seeking in the logs, the card holder could still refuse the transaction > (and then magnatune would have to prove it's actually that person who > did the transaction). >  > But still, not logging the CC data in the first place would be.. um..

<br>> better ;)<br>> <br>> > As to this comment:<br>> >> Like the implementation how your credit card information is submitted<br>> >> and that<br>> >> it is posted under the personal account of one Amarok developer at

<br>> >> Magnatune?<br>> ><br>> > I assume they're referring to the "id=nikola" in the purchase url that<br>> > was in the beta versions of Amarok, which has now been changed to<br>> > "id=amarok".  This is simply used to track the source of the purchase

<br>> > and has no nefarious intent.<br>> <br>> Ok. So there is an "amarok" account at magnatunes.<br>> Is there any option for anyone (except you guys at magnatunes, of<br>> course) to log in to that account and see transaction history that

<br>> includes credit card information ?<br>> <br>> CC data is a really sensitive thing (I happen to work in the payment<br>> business ;)).<br>> <br>> Thanks for clarifying John.<br>> <br>> Nikolaj: I'll patch out the CC data logging in my amarok builds - could

<br>> it be merged upstream ?<br>> <br>> cheers<br>> - --<br>>   -o) Pascal Bleser     <a href="http://linux01.gwdg.de/~pbleser/">http://linux01.gwdg.de/~pbleser/</a><br>>   /\\ <<a href="mailto:pascal.bleser@skynet.be">

pascal.bleser@skynet.be</a>>       <<a href="mailto:guru@unixtech.be">guru@unixtech.be</a>><br>>  _\_v The more things change, the more they stay insane.<br>> -----BEGIN PGP SIGNATURE-----<br>> Version: GnuPG 

v1.4.2 (GNU/Linux)<br>> <br>> iD8DBQFFVZ4Kr3NMWliFcXcRAnfcAJ4gA475gJaHYegjxCT2eUxvH8kMPQCfYguZ<br>> L7qDU9EGm5/G4Wjn+TQH9ow=<br>> =R6Mg<br>> -----END PGP SIGNATURE-----<br>> <br>> <br>> <br>