[論文レビュー] Security Certification in Payment Card Industry: Testbeds, Measurements, and Recommendations

Sazzadur Rahaman, Gang Wang+2 more|arXiv (Cornell University)|Feb 7, 2020

Web Application Security Vulnerabilities参考文献 34被引用数 23

ひとこと要約

本論文は、eコマース用にカスタマイズ可能なテストベッドBuggyCartを開発することで、PCIデータセキュリティ基準（DSS）の実世界における実効性を評価し、6つのPCI承認済みスキャナおよび1,203のライブWebサイトを評価した。その結果、深刻なギャップが判明した：実世界のeコマースサイトの86％が、認証を失う要因となるPCI DSS違反を少なくとも1件以上有しており、6つのスキャナすべてが深刻な脆弱性を検出できず、うち5つはスキャンガイドラインに準拠していなかった。

ABSTRACT

The massive payment card industry (PCI) involves various entities such as merchants, issuer banks, acquirer banks, and card brands. Ensuring security for all entities that process payment card information is a challenging task. The PCI Security Standards Council requires all entities to be compliant with the PCI Data Security Standard (DSS), which specifies a series of security requirements. However, little is known regarding how well PCI DSS is enforced in practice. In this paper, we take a measurement approach to systematically evaluate the PCI DSS certification process for e-commerce websites. We develop an e-commerce web application testbed, BuggyCart, which can flexibly add or remove 35 PCI DSS related vulnerabilities. Then we use the testbed to examine the capability and limitations of PCI scanners and the rigor of the certification process. We find that there is an alarming gap between the security standard and its real-world enforcement. None of the 6 PCI scanners we tested are fully compliant with the PCI scanning guidelines, issuing certificates to merchants that still have major vulnerabilities. To further examine the compliance status of real-world e-commerce websites, we build a new lightweight scanning tool named PciCheckerLite and scan 1,203 e-commerce websites across various business sectors. The results confirm that 86% of the websites have at least one PCI DSS violation that should have disqualified them as non-compliant. Our in-depth accuracy analysis also shows that PciCheckerLite's output is more precise than w3af. We reached out to the PCI Security Council to share our research results to improve the enforcement in practice.

研究の動機と目的

• eコマースWebサイトにおけるPCI DSS準拠認証の実世界効果を調査すること。
• PCI承認済みスキャンベンダ（ASV）のセキュリティ脆弱性検出の正確性と厳密さを評価すること。
• 軽量スキャナーツールを用いて、実際のeコマースWebサイトにおけるPCI DSS違反の広がりを測定すること。
• PCI DSSの仕様と実際の運用における監査の間にあるギャップを特定すること。
• PCIセキュリティ基準評議会への実証的証拠と提言を提供し、PCI DSSの監査を改善すること。

提案手法

• 35のPCI DSS関連脆弱性（誤設定、インジェクション脆弱性、不適切なデータ処理など）を埋め込んだ、カスタマイズ可能なeコマーステストベッドBuggyCartを開発した。
• BuggyCartを用いて、6つのPCI承認済みスキャンベンダの検出精度とASVスキャンガイドラインへの準拠度を評価した。
• 生産環境の制約下で動作する軽量で非侵襲的なスキャナPciCheckerLiteを構築した。
• 多様な業界分野にまたがる1,203の実際のeコマースWebサイトを大規模に測定し、準拠状況を評価した。
• PciCheckerLiteとw3afの間で比較分析を実施し、スキャン精度を検証した。
• 研究結果をPCIセキュリティ評議会に共有し、認証手法の改善に貢献した。

実験結果

リサーチクエスチョン

• RQ1 PCI承認済みスキャナは、制御されたテスト環境で重要なPCI DSS脆弱性をどれほど正確に検出できるか？
• RQ2 実世界のeコマースWebサイトは、実際の運用においてどの程度PCI DSS要件を満たしているか？
• RQ3 軽量で非侵襲的なスキャナーツールは、ライブプロダクション環境のWebサイトを評価する際にどれほど正確で信頼性があるか？
• RQ4 PCI DSS準拠とされている組織でも、なぜ大規模なデータ漏洩が依然として発生するのか？
• RQ5 現在のPCI DSS認証プロセスに内在する、非準拠システムが認証を取得してしまう要因となる構造的欠陥は何か？

主な発見

• スキャンされた1,203の実世界eコマースサイトの86％が、認証を失う要因となるPCI DSS違反を少なくとも1件以上有している。
• テストされた6つのPCI承認済みスキャナすべてがASVスキャンガイドラインに完全に準拠しておらず、5つは深刻な脆弱性を検出できなかったにもかかわらず認証を発行していた。
• SQLインジェクション、XSS、CSRFといった深刻な脆弱性でさえ、テストベッドに明示的に埋め込まれたにもかかわらず、6つのスキャナすべてが検出できなかった。
• PciCheckerLiteは、w3afよりも実際のPCI DSS違反を識別する精度が高く、大規模な測定に信頼性があることが確認された。
• 本研究では、重大な監査ギャップが判明した：PCI DSS準拠認証はセキュリティを保証しない。スキャナは深刻な誤設定を含むシステムをしばしば認証している。
• PCIセキュリティ評議会は研究結果を承認し、生産環境における非侵襲的スキャンの課題を確認した。