[论文解读] Security Certification in Payment Card Industry: Testbeds, Measurements, and Recommendations

Sazzadur Rahaman, Gang Wang+2 more|arXiv (Cornell University)|Feb 7, 2020

Web Application Security Vulnerabilities参考文献 34被引用 23

一句话总结

本文通过开发可定制的电子商务测试平台 BuggyCart，评估了真实世界中对 PCI 数据安全标准（DSS）的执行情况，以检测 6 个经 PCI 认证的扫描器和 1,203 个实际运行的网站。研究发现存在一个关键漏洞：86% 的真实电子商务网站至少存在一项会导致认证失效的 PCI DSS 违规行为，且所有 6 个扫描器均未能检测到主要漏洞，其中 5 个甚至未遵守扫描指南。

ABSTRACT

The massive payment card industry (PCI) involves various entities such as merchants, issuer banks, acquirer banks, and card brands. Ensuring security for all entities that process payment card information is a challenging task. The PCI Security Standards Council requires all entities to be compliant with the PCI Data Security Standard (DSS), which specifies a series of security requirements. However, little is known regarding how well PCI DSS is enforced in practice. In this paper, we take a measurement approach to systematically evaluate the PCI DSS certification process for e-commerce websites. We develop an e-commerce web application testbed, BuggyCart, which can flexibly add or remove 35 PCI DSS related vulnerabilities. Then we use the testbed to examine the capability and limitations of PCI scanners and the rigor of the certification process. We find that there is an alarming gap between the security standard and its real-world enforcement. None of the 6 PCI scanners we tested are fully compliant with the PCI scanning guidelines, issuing certificates to merchants that still have major vulnerabilities. To further examine the compliance status of real-world e-commerce websites, we build a new lightweight scanning tool named PciCheckerLite and scan 1,203 e-commerce websites across various business sectors. The results confirm that 86% of the websites have at least one PCI DSS violation that should have disqualified them as non-compliant. Our in-depth accuracy analysis also shows that PciCheckerLite's output is more precise than w3af. We reached out to the PCI Security Council to share our research results to improve the enforcement in practice.

研究动机与目标

• 调查电子商务网站的 PCI DSS 合规性认证在真实世界中的有效性。
• 评估经 PCI 认可的扫描服务提供方（ASVs）检测安全漏洞的准确性和严格程度。
• 使用轻量级扫描工具测量实际运行的电子商务网站中 PCI DSS 违规行为的普遍程度。
• 识别 PCI DSS 规范与实际执行之间存在的差距。
• 通过提供实证证据和建议，改进 PCI 安全标准委员会的 PCI DSS 执行机制。

提出的方法

• 开发了 BuggyCart，一个可配置的电子商务测试平台，内嵌 35 个与 PCI DSS 相关的漏洞，包括配置错误、注入缺陷以及不安全的数据处理方式。
• 利用 BuggyCart 评估 6 个经 PCI 认可的扫描服务提供方，以衡量其检测准确率及对 ASV 扫描指南的遵守程度。
• 构建了 PciCheckerLite，一个轻量级、非侵入式扫描工具，用于在生产环境约束下评估实际运行的电子商务网站。
• 对来自不同业务领域的 1,203 个真实电子商务网站进行了大规模测量，以评估其合规状态。
• 对 PciCheckerLite 与 w3af 的扫描结果进行对比分析，以验证扫描精度。
• 已将研究发现提交给 PCI 安全标准委员会，以推动认证实践的改进。

实验结果

研究问题

• RQ1 在受控测试环境中，经 PCI 认可的扫描器对关键 PCI DSS 漏洞的检测能力如何？
• RQ2 在实际应用中，真实世界的电子商务网站在多大程度上符合 PCI DSS 要求？
• RQ3 轻量级、非侵入式扫描工具在评估实际生产环境网站时，其准确性和可靠性如何？
• RQ4 为何在被认证为符合 PCI DSS 的组织中，仍会发生重大数据泄露？
• RQ5 当前 PCI DSS 认证流程中存在哪些系统性缺陷，导致不符合要求的系统仍能获得认证？

主要发现

• 在扫描的 1,203 个真实世界电子商务网站中，86% 至少存在一项会导致认证失效的 PCI DSS 违规行为。
• 在测试的 6 个经 PCI 认可的扫描器中，没有一个完全符合 ASV 扫描指南，其中 5 个在遗漏关键漏洞的情况下仍颁发了证书。
• 所有 6 个扫描器均未能检测到诸如 SQL 注入、跨站脚本（XSS）和跨站请求伪造（CSRF）等关键漏洞，即使这些漏洞已被明确注入测试平台。
• PciCheckerLite 在识别真实 PCI DSS 违规行为方面，精度高于 w3af，证实其在大规模测量中的可靠性。
• 本研究揭示了显著的执行差距：PCI DSS 合规性认证并不能保证安全性，因为扫描器经常对存在严重配置错误的系统颁发认证。
• PCI 安全标准委员会已认可本研究的发现，并确认在生产环境中进行非侵入式扫描存在挑战。