從“攜程”安全事件解讀PCI DSS標(biāo)準(zhǔn)
2014年3月22日烏云(Woo Yun)漏洞平臺(tái)發(fā)布攜程旅行網(wǎng)的相關(guān)安全漏洞，漏洞標(biāo)題為“攜程安全支付日志可遍歷下載導(dǎo)致大量用戶(hù)銀行卡信息泄露(包含持卡人姓名身份證、銀行卡號(hào)、卡CVV碼、6位卡Bin)”?；跇I(yè)界針對(duì)該漏洞提出了很多與PCI標(biāo)準(zhǔn)相關(guān)的討論，atsec作為PCI安全標(biāo)準(zhǔn)委員會(huì)所授權(quán)的合規(guī)安全評(píng)估機(jī)構(gòu)QSA公司在此進(jìn)行官方解釋?zhuān)吻逵捎谠撌录鸬膶?duì)于標(biāo)準(zhǔn)容易引起歧義的解讀。
1、CVV2是否允許存儲(chǔ)?
CVV2是獲取交易授權(quán)的一個(gè)重要數(shù)據(jù)，在PCI DSS標(biāo)準(zhǔn)中，CVV2/CVC2、PIN碼以及磁條信息等數(shù)據(jù)稱(chēng)為敏感認(rèn)證數(shù)據(jù)(SAD：Sensitive Authentication Data)。PCI DSS要求3.2原文參見(jiàn)如下：
3.2 Do not store sensitive authentication data after authorization (even if encrypted). If sensitive authentication data is received, render all data unrecoverable upon completion of the authorization process.
標(biāo)準(zhǔn)正確的解讀為：敏感認(rèn)證數(shù)據(jù)(SAD：Sensitive Authentication Data)在授權(quán)完成之后禁止存儲(chǔ)(發(fā)卡機(jī)構(gòu)和發(fā)卡處理機(jī)構(gòu)除外)，即使進(jìn)行了加密也是絕對(duì)禁止的。該要求是PCI DSS標(biāo)準(zhǔn)6大類(lèi)12個(gè)要求300余項(xiàng)安全要求之一，也是標(biāo)準(zhǔn)的重要的基線(xiàn)要求。
業(yè)界也在討論在授權(quán)交易之前是否能進(jìn)行存儲(chǔ)，理論上來(lái)講這應(yīng)該取決于各支付品牌的安全體系要求。通常QSA評(píng)估機(jī)構(gòu)和人員會(huì)在項(xiàng)目執(zhí)行過(guò)程中通過(guò)業(yè)務(wù)流程的梳理與被評(píng)估機(jī)構(gòu)進(jìn)行深入研討和確認(rèn)，總體來(lái)講授權(quán)之前的暫時(shí)性的敏感認(rèn)證存儲(chǔ)必須要高于原有的PCI要求，QSA至少要檢查強(qiáng)加密算法的實(shí)現(xiàn)、密鑰管理的相關(guān)流程和技術(shù)措施等。
故而，安全漏洞可能會(huì)導(dǎo)致的風(fēng)險(xiǎn)理論上應(yīng)不會(huì)涉及到敏感認(rèn)證數(shù)據(jù)的泄露，因?yàn)檫@些按照標(biāo)準(zhǔn)和產(chǎn)業(yè)要求是禁止存儲(chǔ)的。
關(guān)于此點(diǎn)，早在多年以前產(chǎn)業(yè)內(nèi)就有過(guò)諸多的探討和解決方案。來(lái)自于PCI標(biāo)準(zhǔn)委員會(huì)的信息參見(jiàn)如下：
As for sensitive authentication data, such as the contents of the magnetic stripe and the security code, the Council added this:
With respect to SAD, PCI DSS Requirement 3.2 prohibits storage of SAD AFTER authorization, even if encrypted. Whether SAD is permitted to be stored prior to authorization is determined by the individual payment brands, including any related usage and protection requirements. Any permitted storage of SAD prior to authorization would be subject to strict conditions and controls above those defined in the PCI DSS. Additionally, several payment brands have very specific rules that prohibit any storage of SAD and do not make any exceptions. To determine payment brand requirements, please contact the individual payment brands directly.
從PCI DSS標(biāo)準(zhǔn)的角度，容易被忽略的位置(比如日志文件、臨時(shí)文件、debug文件等)，特別是調(diào)試性的debug信息經(jīng)常會(huì)被忽略，這也是atsec執(zhí)行QSA審核的重點(diǎn)和容易發(fā)現(xiàn)問(wèn)題的環(huán)節(jié)。
此外，PCI的要求在所謂“預(yù)授權(quán)”過(guò)程中是一致的，并沒(méi)有要求的變化和區(qū)別。參見(jiàn)2012年P(guān)CI標(biāo)準(zhǔn)委員會(huì)發(fā)布的正式說(shuō)明：
PCI DSS applies wherever cardholder data (CHD) and/or sensitive authentication data (SAD) is stored, processed or transmitted, irrespective of whether it is pre-authorization or post-authorization. There are no specific rules in PCI DSS regarding how long CHD or SAD can be stored prior to authorization, but such data must be protected according to PCI DSS while being stored, processed or transmitted.
2、關(guān)于持卡人數(shù)據(jù)傳輸?shù)募用芤?/strong>
有文章談及：“而PCI顧問(wèn)James Huguelet則指出：PCI標(biāo)準(zhǔn)最大的安全問(wèn)題在于，該標(biāo)準(zhǔn)雖然要求對(duì)靜態(tài)數(shù)據(jù)加密，但是并不要求企業(yè)對(duì)數(shù)據(jù)傳輸加密，也就是在整個(gè)交易流程鏈中，數(shù)據(jù)都未被要求加密。”這個(gè)專(zhuān)家的評(píng)論無(wú)疑是錯(cuò)誤的。
PCI DSS數(shù)據(jù)保護(hù)分為數(shù)據(jù)存儲(chǔ)的保護(hù)和傳輸?shù)募用埽琍CI DSS第4章的要求均是面向公共開(kāi)放網(wǎng)絡(luò)(包括但不限于互聯(lián)網(wǎng)、無(wú)線(xiàn)、GSM、GPRS)的持卡人數(shù)據(jù)傳輸加密的要求，其中強(qiáng)加密是必須的。
關(guān)于傳輸加密，標(biāo)準(zhǔn)部分原文參見(jiàn)如下：
4.1 Use strong cryptography and security protocols (for example, SSL/TLS, IPSEC, SSH, etc.) to safeguard sensitive cardholder data during transmission over open, public networks.
通常atsec除了審核證據(jù)和訪談，也會(huì)通過(guò)外部授權(quán)的掃描供應(yīng)商(ASV：Approved Scanning Vendor)通過(guò)掃描的方式進(jìn)行進(jìn)一步的驗(yàn)證(參見(jiàn)PCI DSS要求11.2)。
3、關(guān)于目錄遍歷漏洞
事件中提及的目錄遍歷漏洞，是OWASP top 10中的漏洞之一。在上個(gè)版本標(biāo)準(zhǔn)PCI DSS v2.0的要求6.5.8中已明確要求杜絕該漏洞的存在。此外，PCI DSS標(biāo)準(zhǔn)要求在支付應(yīng)用上線(xiàn)前的代碼審核階段(涉及要求6.3.2)、安全性測(cè)試階段(涉及要求6.4.5.3)以及上線(xiàn)后的定期安全性檢查階段(涉及要求6.6)的軟件生命周期過(guò)程中，通過(guò)有效的代碼評(píng)審、支付應(yīng)用上線(xiàn)前的安全性測(cè)試以及支付應(yīng)用上線(xiàn)后的定期代碼審核或通過(guò)實(shí)施阻止針對(duì)Web應(yīng)用的監(jiān)測(cè)和防護(hù)機(jī)制等措施確保支付應(yīng)用中不存在OWASP top 10漏洞。標(biāo)準(zhǔn)原文參見(jiàn)如下：
6.5.8 Improper Access Control (such as insecure direct object references, failure to restrict URL access, and directory traversal)
4、在美國(guó)上市是否就默認(rèn)達(dá)到了PCI DSS標(biāo)準(zhǔn)的合規(guī)要求?
這是不準(zhǔn)確的。PCI DSS早在多年前已經(jīng)成為新商戶(hù)、服務(wù)提供商，以及收單機(jī)構(gòu)和發(fā)卡機(jī)構(gòu)處理支付相關(guān)業(yè)務(wù)的強(qiáng)制要求，目前并沒(méi)有明顯的證據(jù)顯示PCI DSS的合規(guī)要求是來(lái)自于上市管理機(jī)構(gòu)的強(qiáng)制要求。
執(zhí)行PCI DSS合規(guī)通常來(lái)自于卡品牌、收單機(jī)構(gòu)(如銀行)和支付合作客戶(hù)的要求。目前也有越來(lái)越多的機(jī)構(gòu)出于自身數(shù)據(jù)安全的考慮，致力于PCI合規(guī)建設(shè)和安全合規(guī)評(píng)估。
atsec官方PCI QSA合規(guī)評(píng)估列表參見(jiàn)：http://www.atsec.cn/cn/pci-compliance.html
5、關(guān)于數(shù)據(jù)泄露和PFI
在安全行業(yè)很多的機(jī)構(gòu)和廠商都會(huì)接受安全專(zhuān)家或者自行發(fā)現(xiàn)安全漏洞，和黑客利用漏洞攻擊的本質(zhì)區(qū)別在于漏洞的發(fā)布是為了更好的修復(fù)漏洞并解決信息安全問(wèn)題。故而漏洞可能是客觀存在的，漏洞發(fā)布和問(wèn)題修復(fù)之間的時(shí)間窗口就顯得尤為重要，使得漏洞被黑客利用導(dǎo)致數(shù)據(jù)泄露事件的可能性以及相關(guān)風(fēng)險(xiǎn)降到最低。
而漏洞的發(fā)布本身也不意味著發(fā)生了數(shù)據(jù)泄露的事件。在國(guó)際PCI產(chǎn)業(yè)，通常發(fā)生了疑似數(shù)據(jù)泄露之后，會(huì)邀請(qǐng)PCI安全標(biāo)準(zhǔn)委員會(huì)所授權(quán)的PCI取證調(diào)研機(jī)構(gòu)(PFI：PCI Forensic Investigator)執(zhí)行事后取證調(diào)研，進(jìn)一步確定事件發(fā)生的原因，提出建議改善信息安全。
PCI數(shù)據(jù)安全標(biāo)準(zhǔn)的生命周期為三年，每三年內(nèi)全球的產(chǎn)業(yè)專(zhuān)家均在致力于新標(biāo)準(zhǔn)的研討和制定，符合最新的安全發(fā)展要求;此外，各個(gè)領(lǐng)域的問(wèn)題設(shè)置有專(zhuān)門(mén)的特別工作組(SIG：Special Interest Group)開(kāi)發(fā)并維護(hù)特殊的相關(guān)安全技術(shù)指導(dǎo)，如加密、EMV、移動(dòng)支付、云計(jì)算、滲透測(cè)試、安全意識(shí)教育等。PCI標(biāo)準(zhǔn)要求從制度流程、人員要求到網(wǎng)絡(luò)安全、系統(tǒng)加固、應(yīng)用開(kāi)發(fā)過(guò)程、安全編碼、數(shù)據(jù)安全存儲(chǔ)和傳輸、物理安全、安全測(cè)試和漏洞管理等方方面面進(jìn)行了詮釋。致力于PCI合規(guī)且長(zhǎng)期持續(xù)的合規(guī)是支付相關(guān)機(jī)構(gòu)的業(yè)務(wù)健康穩(wěn)定發(fā)展的基礎(chǔ)，也是保護(hù)廣大持卡人數(shù)據(jù)安全的最佳實(shí)踐。
參考資料;
[1] WooYun.org：http://www.wooyun.org/bugs/wooyun-2010-054302
[2] PCI SSC官方網(wǎng)站：https://www.pcisecuritystandards.org/
[3] atsec官方網(wǎng)站：http://www.atsec.cn/
[4] 攜程支付安全聲明：
http://pages.ctrip.com/commerce/promote/201403/other/xf/index.html
