WebBrowser和PCI

Question

如果销售点读卡器停止工作，卡处理供应商需要备份卡输入方法。处理器的建议方法是，应用程序将一个WebBrowser控制托管到供应商自己的站点，在该站点中在结帐时输入信用卡信息，并监视URL更改以知道事务何时完成并接收验证令牌。

我觉得这是一个潜在的PCI雷区：

• 按键进入的进程与销售点应用程序的其余部分相同，WebBrowser还提供进程内DOM挂钩。
• 我不知道这对HTTPS证书验证意味着什么，如果MitM来自另一台机器
• 也许还有一些我不知道的事情也同样重要。(不推荐的协议和算法？)

可以肯定的是，一个独立的web浏览器可能有一些相同的问题，但至少它不是应用程序代码库的责任。我不希望PCI审计仅仅因为它与付款条目共享一个代码基而在代码库中出现一些无关的问题。

我是不是想得太多了，因为这只是一种备份方法，如果读卡器坏了，就使用它？处理这件事的标准方法是什么？

Answer 1

如果您正在接受审计，审计人员将查找以下基本内容：

1. 制造商更新嵌入式浏览器的频率有多高？它是如何接收更新的？它会接收/部署自动更新吗？或者，当发现/修补关键安全漏洞时，您是否必须重新部署应用程序？如何管理这些更新？如果更新是自动的，那么在它们被刺激之后，您如何保证它们呢？如果您必须重新部署应用程序，您将如何将其分发给用户？如何确保所有用户从不安全版本升级到安全版本？他们被推了多久一次？您是否有一套很好的流程可供管理:更新频率如此之高，以至于用户永远不知道他们将打开什么，而更新却很少，以致于您正在运行非常脆弱的软件？
2. 在实践中(特别是如果您受到了入侵后的审计)，嵌入式浏览器是否已经完全更新以防止修补的安全威胁？
3. 嵌入式浏览器是否保护免受基于浏览器的威胁，如按下载驱动？您的防病毒解决方案是否仍然适用于嵌入式浏览器？真的吗？你是怎么测试的？

如果您在浏览器内部运行虚拟终端，您可能希望能够回答这些相同的问题，只涉及常规浏览器。因此，使用嵌入式浏览器不会改变PCI的字母.然而，围绕嵌入式浏览器的安全进程将是不同的。

对于像MITM攻击这样的事情，我不确定我是否完全理解你的问题。嵌入式浏览器将像普通浏览器一样易受MITM攻击，尽管一些常规浏览器对中间攻击中的man有更强的保护。例如，如果你的嵌入式浏览器是一个更新版本的谷歌Chrome，我会觉得比你的嵌入式浏览器是一个版本的IE6，这十年来没有看到更新，我会感到非常安全。

需要记住的重要一点是，如果您的持卡人数据环境(CDE)位于接收定期漏洞扫描的安全网络中(如果您有一个良好的书面流程来管理如何执行漏洞扫描)，那么在发生漏洞扫描时，您应该很好。不过，关键在于，您需要同时记录流程以及如何跟踪该流程。

例如，假设您的流程是：

a.)让你的团队的专家每周五做一次漏洞扫描。b.)请一家外部公司每季度做一次完整的漏洞扫描。

你需要有以下记录：

a.)谁是你的专家？她是怎么训练的？她有资格做漏洞扫描吗？如果她发现一个漏洞，它是如何升级的？她什么时候做的扫描？她有结果的打印结果吗？她是否用她的调查结果填写了一张表格？你有所有的表格吗？我能看到她在2015年12月18日进行的漏洞扫描的结果吗？

b.)当你做专业扫描的时候，谁来做呢？你如何审查公司是否合格？你如何审查谁做了他们是合格的？如果他们发现漏洞会发生什么？如果他们发现了内部专家找不到的漏洞，会发生什么呢？我能看看他们的上一份报告吗？我能看一下四分之三前的报告吗？