立即行动：PCI DSS v4.0新要求应对基于浏览器的攻击

F5生态系统 | 2023年1月03日

在线零售商和电子商务供应商请注意：在保护客户端数据和在线支付免受数字窃取及Magecart攻击方面，如今有了新的应对方案。

2022年3月，支付卡行业（PCI）安全标准委员会发布了修订版的《数据安全标准PCI DSS v4.0》，其中规定了商户在存储、处理和传输持卡人数据时必须满足的最低安全要求。修订后的要求包含多项增强措施，旨在保障在线交易安全，并在在线商业交易过程中保护消费者、企业和发卡机构。

新要求重点强调，需要监控和管理集成到电子商务网站中的浏览器端第三方JavaScript库。这些库可提供支付处理iFrame、聊天机器人、广告、社交分享按钮和跟踪脚本等开箱即用的功能。虽然这些JavaScript库有助于企业加快网站开发，但也为网络犯罪分子扩大了攻击面，因为这些脚本很容易遭到数字窃取和Magecart攻击，从而导致凭据、信用卡信息及其他个人身份信息（PII）被盗。

这些数据泄露事件显然会损害受骗消费者的利益，也会给企业带来不利影响，可能导致违规、收入损失、股价下跌、社交媒体上的负面评价以及品牌价值受损。

尽管新的PCI DSS 4.0要求到2025年才强制实施，但不应等到那时再行动。相关要求所针对的各类攻击如今已经发生。应尽快落实增强的保护措施，保护企业声誉和客户免受攻击与欺诈。

客户端攻击有哪些危害？

不久前，商业Web应用还是以单体代码的形式构建，并由本地部署的Web服务器提供服务。然而，如今的现代Web应用已大不相同，通常由多个第三方JavaScript库组合而成，大量处理工作在客户端（即用户的浏览器中）完成。据估计，典型网页中有70%–80%由第三方库构成，其中一些脚本还包含其他第三方脚本的代码。如此冗长的代码依赖链意味着，企业难以充分了解或控制其网站上实际运行的代码。

威胁行为者意识到，由于这些多层第三方依赖关系涉及范围广、规模大，组织难以妥善管理、跟踪和保护其环境中运行的代码，甚至无法检测代码何时发生更改或遭到利用。这种可见性不足为网络犯罪分子提供了可乘之机，使其能够向合法网页或Web应用代码中注入恶意脚本并发起攻击，以拦截、操纵和劫持用户会话。随后，他们便可窃取个人数据和支付信息、控制并篡改网站、展示虚假内容、创建新表单或修改合法表单，而这些行为都可能为欺诈和账户接管埋下隐患。

PCI DSS v4.0 的要求

修订后的标准明确指出，加强客户端Web安全对于任何接受在线支付的企业都至关重要。该标准要求对在消费者浏览器中加载和执行的所有支付页面脚本进行全面管理。具体而言，新标准第6.4.3项要求电子商务供应商实施以下措施：

用于确认每个脚本均已获得授权的方法
一种确保每个脚本完整性的方法
所有脚本的清单，以及说明每个脚本为何必需的书面理由

新标准要求商户审查其政策和程序，以确认已制定相应流程，用于管理在消费者浏览器中加载和执行的所有支付页面脚本。商户还必须访谈相关负责人，并检查清单记录和系统配置，以确认在消费者浏览器中加载和执行的所有支付页面脚本均按照本要求规定的全部要素进行管理。

此外，修订后标准的第11.6节要求检测并响应支付页面上的未授权更改。为此，需要采用变更和篡改检测机制，在消费者浏览器接收到的HTTP标头和支付页面内容遭到未授权修改时向相关人员发出警报。必须至少每7天检查一次配置设置，或按照组织风险分析评估中规定的频率进行检查。

通过手动方式或传统解决方案满足这些要求，不仅成本高昂，还会占用大量资源。由于支付表单脚本在客户端运行，商家难以了解其行为，恶意代码因而很容易逃避检测。此外，商家对第三方代码的控制也十分有限，例如用于支持支付处理程序、Cookie同意表单、聊天机器人或广告跟踪器等网页功能的动态JavaScript库。这些代码经常更新和变更，而商家往往并不知情。

子资源完整性（SRI）和内容安全策略（CSP）等现有检测技术，已不足以保护当今不断变化的Web应用。SRI通过执行完整性检查来确保脚本未被篡改，而CSP则限制浏览器可从哪些位置加载脚本以及向哪些位置发送数据。