從“攜程”安全事件解讀PCI DSS標(biāo)準(zhǔn)
2014年3月22日烏云(Woo Yun)漏洞平臺發(fā)布攜程旅行網(wǎng)的相關(guān)安全漏洞，漏洞標(biāo)題為“攜程安全支付日志可遍歷下載導(dǎo)致大量用戶銀行卡信息泄露(包含持卡人姓名身份證、銀行卡號、卡CVV碼、6位卡Bin)”。基于業(yè)界針對該漏洞提出了很多與PCI標(biāo)準(zhǔn)相關(guān)的討論，atsec作為PCI安全標(biāo)準(zhǔn)委員會所授權(quán)的合規(guī)安全評估機(jī)構(gòu)QSA公司在此進(jìn)行官方解釋，澄清由于該事件引起的對于標(biāo)準(zhǔn)容易引起歧義的解讀。
1、CVV2是否允許存儲?
CVV2是獲取交易授權(quán)的一個(gè)重要數(shù)據(jù)，在PCI DSS標(biāo)準(zhǔn)中，CVV2/CVC2、PIN碼以及磁條信息等數(shù)據(jù)稱為敏感認(rèn)證數(shù)據(jù)(SAD：Sensitive Authentication Data)。PCI DSS要求3.2原文參見如下：
3.2 Do not store sensitive authentication data after authorization (even if encrypted). If sensitive authentication data is received, render all data unrecoverable upon completion of the authorization process.
標(biāo)準(zhǔn)正確的解讀為：敏感認(rèn)證數(shù)據(jù)(SAD：Sensitive Authentication Data)在授權(quán)完成之后禁止存儲(發(fā)卡機(jī)構(gòu)和發(fā)卡處理機(jī)構(gòu)除外)，即使進(jìn)行了加密也是絕對禁止的。該要求是PCI DSS標(biāo)準(zhǔn)6大類12個(gè)要求300余項(xiàng)安全要求之一，也是標(biāo)準(zhǔn)的重要的基線要求。
業(yè)界也在討論在授權(quán)交易之前是否能進(jìn)行存儲，理論上來講這應(yīng)該取決于各支付品牌的安全體系要求。通常QSA評估機(jī)構(gòu)和人員會在項(xiàng)目執(zhí)行過程中通過業(yè)務(wù)流程的梳理與被評估機(jī)構(gòu)進(jìn)行深入研討和確認(rèn)，總體來講授權(quán)之前的暫時(shí)性的敏感認(rèn)證存儲必須要高于原有的PCI要求，QSA至少要檢查強(qiáng)加密算法的實(shí)現(xiàn)、密鑰管理的相關(guān)流程和技術(shù)措施等。
故而，安全漏洞可能會導(dǎo)致的風(fēng)險(xiǎn)理論上應(yīng)不會涉及到敏感認(rèn)證數(shù)據(jù)的泄露，因?yàn)檫@些按照標(biāo)準(zhǔn)和產(chǎn)業(yè)要求是禁止存儲的。
關(guān)于此點(diǎn)，早在多年以前產(chǎn)業(yè)內(nèi)就有過諸多的探討和解決方案。來自于PCI標(biāo)準(zhǔn)委員會的信息參見如下：
As for sensitive authentication data, such as the contents of the magnetic stripe and the security code, the Council added this:
With respect to SAD, PCI DSS Requirement 3.2 prohibits storage of SAD AFTER authorization, even if encrypted. Whether SAD is permitted to be stored prior to authorization is determined by the individual payment brands, including any related usage and protection requirements. Any permitted storage of SAD prior to authorization would be subject to strict conditions and controls above those defined in the PCI DSS. Additionally, several payment brands have very specific rules that prohibit any storage of SAD and do not make any exceptions. To determine payment brand requirements, please contact the individual payment brands directly.
從PCI DSS標(biāo)準(zhǔn)的角度，容易被忽略的位置(比如日志文件、臨時(shí)文件、debug文件等)，特別是調(diào)試性的debug信息經(jīng)常會被忽略，這也是atsec執(zhí)行QSA審核的重點(diǎn)和容易發(fā)現(xiàn)問題的環(huán)節(jié)。
此外，PCI的要求在所謂“預(yù)授權(quán)”過程中是一致的，并沒有要求的變化和區(qū)別。參見2012年P(guān)CI標(biāo)準(zhǔn)委員會發(fā)布的正式說明：
PCI DSS applies wherever cardholder data (CHD) and/or sensitive authentication data (SAD) is stored, processed or transmitted, irrespective of whether it is pre-authorization or post-authorization. There are no specific rules in PCI DSS regarding how long CHD or SAD can be stored prior to authorization, but such data must be protected according to PCI DSS while being stored, processed or transmitted.
2、關(guān)于持卡人數(shù)據(jù)傳輸?shù)募用芤?/strong>
有文章談及：“而PCI顧問James Huguelet則指出：PCI標(biāo)準(zhǔn)最大的安全問題在于，該標(biāo)準(zhǔn)雖然要求對靜態(tài)數(shù)據(jù)加密，但是并不要求企業(yè)對數(shù)據(jù)傳輸加密，也就是在整個(gè)交易流程鏈中，數(shù)據(jù)都未被要求加密。”這個(gè)專家的評論無疑是錯(cuò)誤的。
PCI DSS數(shù)據(jù)保護(hù)分為數(shù)據(jù)存儲的保護(hù)和傳輸?shù)募用?，PCI DSS第4章的要求均是面向公共開放網(wǎng)絡(luò)(包括但不限于互聯(lián)網(wǎng)、無線、GSM、GPRS)的持卡人數(shù)據(jù)傳輸加密的要求，其中強(qiáng)加密是必須的。
關(guān)于傳輸加密，標(biāo)準(zhǔn)部分原文參見如下：
4.1 Use strong cryptography and security protocols (for example, SSL/TLS, IPSEC, SSH, etc.) to safeguard sensitive cardholder data during transmission over open, public networks.
通常atsec除了審核證據(jù)和訪談，也會通過外部授權(quán)的掃描供應(yīng)商(ASV：Approved Scanning Vendor)通過掃描的方式進(jìn)行進(jìn)一步的驗(yàn)證(參見PCI DSS要求11.2)。
3、關(guān)于目錄遍歷漏洞
事件中提及的目錄遍歷漏洞，是OWASP top 10中的漏洞之一。在上個(gè)版本標(biāo)準(zhǔn)PCI DSS v2.0的要求6.5.8中已明確要求杜絕該漏洞的存在。此外，PCI DSS標(biāo)準(zhǔn)要求在支付應(yīng)用上線前的代碼審核階段(涉及要求6.3.2)、安全性測試階段(涉及要求6.4.5.3)以及上線后的定期安全性檢查階段(涉及要求6.6)的軟件生命周期過程中，通過有效的代碼評審、支付應(yīng)用上線前的安全性測試以及支付應(yīng)用上線后的定期代碼審核或通過實(shí)施阻止針對Web應(yīng)用的監(jiān)測和防護(hù)機(jī)制等措施確保支付應(yīng)用中不存在OWASP top 10漏洞。標(biāo)準(zhǔn)原文參見如下：
6.5.8 Improper Access Control (such as insecure direct object references, failure to restrict URL access, and directory traversal)
4、在美國上市是否就默認(rèn)達(dá)到了PCI DSS標(biāo)準(zhǔn)的合規(guī)要求?
這是不準(zhǔn)確的。PCI DSS早在多年前已經(jīng)成為新商戶、服務(wù)提供商，以及收單機(jī)構(gòu)和發(fā)卡機(jī)構(gòu)處理支付相關(guān)業(yè)務(wù)的強(qiáng)制要求，目前并沒有明顯的證據(jù)顯示PCI DSS的合規(guī)要求是來自于上市管理機(jī)構(gòu)的強(qiáng)制要求。
執(zhí)行PCI DSS合規(guī)通常來自于卡品牌、收單機(jī)構(gòu)(如銀行)和支付合作客戶的要求。目前也有越來越多的機(jī)構(gòu)出于自身數(shù)據(jù)安全的考慮，致力于PCI合規(guī)建設(shè)和安全合規(guī)評估。
atsec官方PCI QSA合規(guī)評估列表參見：http://www.atsec.cn/cn/pci-compliance.html
5、關(guān)于數(shù)據(jù)泄露和PFI
在安全行業(yè)很多的機(jī)構(gòu)和廠商都會接受安全專家或者自行發(fā)現(xiàn)安全漏洞，和黑客利用漏洞攻擊的本質(zhì)區(qū)別在于漏洞的發(fā)布是為了更好的修復(fù)漏洞并解決信息安全問題。故而漏洞可能是客觀存在的，漏洞發(fā)布和問題修復(fù)之間的時(shí)間窗口就顯得尤為重要，使得漏洞被黑客利用導(dǎo)致數(shù)據(jù)泄露事件的可能性以及相關(guān)風(fēng)險(xiǎn)降到最低。
而漏洞的發(fā)布本身也不意味著發(fā)生了數(shù)據(jù)泄露的事件。在國際PCI產(chǎn)業(yè)，通常發(fā)生了疑似數(shù)據(jù)泄露之后，會邀請PCI安全標(biāo)準(zhǔn)委員會所授權(quán)的PCI取證調(diào)研機(jī)構(gòu)(PFI：PCI Forensic Investigator)執(zhí)行事后取證調(diào)研，進(jìn)一步確定事件發(fā)生的原因，提出建議改善信息安全。
PCI數(shù)據(jù)安全標(biāo)準(zhǔn)的生命周期為三年，每三年內(nèi)全球的產(chǎn)業(yè)專家均在致力于新標(biāo)準(zhǔn)的研討和制定，符合最新的安全發(fā)展要求;此外，各個(gè)領(lǐng)域的問題設(shè)置有專門的特別工作組(SIG：Special Interest Group)開發(fā)并維護(hù)特殊的相關(guān)安全技術(shù)指導(dǎo)，如加密、EMV、移動支付、云計(jì)算、滲透測試、安全意識教育等。PCI標(biāo)準(zhǔn)要求從制度流程、人員要求到網(wǎng)絡(luò)安全、系統(tǒng)加固、應(yīng)用開發(fā)過程、安全編碼、數(shù)據(jù)安全存儲和傳輸、物理安全、安全測試和漏洞管理等方方面面進(jìn)行了詮釋。致力于PCI合規(guī)且長期持續(xù)的合規(guī)是支付相關(guān)機(jī)構(gòu)的業(yè)務(wù)健康穩(wěn)定發(fā)展的基礎(chǔ)，也是保護(hù)廣大持卡人數(shù)據(jù)安全的最佳實(shí)踐。
參考資料;
[1] WooYun.org：http://www.wooyun.org/bugs/wooyun-2010-054302
[2] PCI SSC官方網(wǎng)站：https://www.pcisecuritystandards.org/
[3] atsec官方網(wǎng)站：http://www.atsec.cn/
[4] 攜程支付安全聲明：
http://pages.ctrip.com/commerce/promote/201403/other/xf/index.html
