क्या सभी स्रोत कोड को पीसीआई अनुपालन करने की आवश्यकता है?

Question

हमने पहले कभी क्रेडिट कार्ड की जानकारी को प्रेषित, संसाधित या संग्रहीत नहीं किया है क्योंकि हमने पेपैल के माध्यम से सब कुछ किया है, इसलिए हमें पीसीआई अनुपालन करने की आवश्यकता नहीं है।

हालांकि, हम एक नया ऑनलाइन स्टोर लॉन्च कर रहे हैं और एक निर्बाध चेकआउट करके जहां क्रेडिट कार्ड की जानकारी पेपैल पर रीडायरेक्ट किए बिना संसाधित की जाती है, हमें अब पीसीआई अनुपालन की आवश्यकता है।

हम पीसीआई अनुपालन प्राप्त करने और बनाए रखने के माध्यम से हमें मार्गदर्शन करने के लिए एक योग्य सुरक्षा निर्धारक कंपनी से परामर्श करने जा रहे हैं। हालांकि, मैं आपको उस घर में हर सेवा बेचने की कोशिश करने से पहले, जो आपको आवश्यकता नहीं हो, उससे पहले, मैं उनसे परामर्श करने से पहले क्या देख रहा हूं, इसका एक अच्छा विचार प्राप्त करना चाहता था।

पीसीआई अनुपालन के मामले में, मुझे समझ में आता है कि इसे सॉफ्टवेयर और हार्डवेयर स्तर पर किया जाना चाहिए और 12 अंक + आवश्यक है। हम Magento Professional के साथ जा रहे हैं क्योंकि इसमें एक पीसीआई अनुपालन भुगतान प्रणाली है, और हम एक पीसीआई अनुपालन वेब होस्टिंग कंपनी (समर्पित सर्वर) के साथ जा रहे हैं। लेकिन सॉफ्टवेयर के मामले में, क्या आपको सब कुछ पर पीसीआई अनुपालन की आवश्यकता है? या सिर्फ वह सॉफ़्टवेयर जो क्रेडिट कार्ड की जानकारी को ट्रांसमिट, स्टोर और प्रोसेस करता है?

उदाहरण के लिए, Magento के अनुसार, भुगतान सॉफ्टवेयर पीसीआई अनुपालन है, जबकि Magento प्लेटफ़ॉर्म नहीं है। इसलिए यह आपको भुगतान सॉफ्टवेयर के पीसीआई अनुपालन को प्रभावित किए बिना Magento को परिवर्तन, संशोधन और अनुकूलन करने की अनुमति देता है।

दूसरे शब्दों में, मैं पूछ रहा हूं, क्या आपको केवल स्रोत कोड/सॉफ़्टवेयर पर पीसीआई अनुपालन की आवश्यकता है जो क्रेडिट कार्ड की जानकारी ट्रांसमिट, प्रसंस्करण और भंडारण से संबंधित है? ये 'योग्य सुरक्षा निर्धारक कंपनियां' इंप्रेशन देते हैं कि पीसीआई अनुपालन के लिए सभी स्रोत कोड की जांच की जानी चाहिए, जो असंभव है!

उदाहरण के लिए, Magento के मामले में, क्या मैं इसमें परिवर्तन और संशोधन कर सकता हूं और अभी भी पीसीआई अनुपालन कर सकता हूं? जब तक भुगतान मॉड्यूल छेड़छाड़ नहीं किया जाता है तब तक यह पीसीआई अनुपालन करता है और वेब होस्टिंग, सर्वर और ओएस पीसीआई अनुपालन करता है?

मेरा मतलब है कि PHP, जावास्क्रिप्ट, mysql सामान जो क्रेडिट कार्ड से निपटता नहीं है, उन्हें अनुपालन करने की आवश्यकता नहीं है? वे निश्चित रूप से एक ही सर्वर पर होंगे।

Answer 1

मूल उत्तर यह है कि यह निर्भर करता है। आम तौर पर, पीसीआई के संवेदनशील और संरक्षित डेटा के साथ केवल स्रोत कोड जो (या सौदा कर सकता है) पीसीआई अनुपालन की आवश्यकता है। हालांकि, इसका मतलब यह है कि यदि आपके कोड के अन्य क्षेत्रों में सुरक्षित क्षेत्रों में पहुंच है, तो आपको वहां सुरक्षा की भी आवश्यकता है। यदि आपके आवेदन का एक और क्षेत्र SQL इंजेक्शन के लिए कमजोर होना था, उदाहरण के लिए, यह आपके क्रेडिट कार्ड सिस्टम से समझौता कर सकता है। यही कारण है कि कुछ लोग सभी सॉफ्टवेयर के लिए पीसीआई अनुपालन की ओर झुकेंगे। कुछ आश्वासन दिया जाना चाहिए कि डेटा की सुरक्षा समझौता करने के लिए सॉफ्टवेयर के खराब लिखित टुकड़े का शोषण किया जा सकता है।

मैं कहता हूं कि यह निर्भर करता है क्योंकि निरीक्षण करने वाले लोगों द्वारा व्याख्या के लिए हमेशा कुछ जगह होती है। हालांकि, अच्छी खबर यह है कि सभी मानकों में से, पीसीआई आपको क्या करने की ज़रूरत है और आप क्या नहीं कर सकते हैं इसके बारे में सबसे प्रत्यक्ष और विशिष्ट प्रतीत होता है।

https://www.pcisecuritystandards.org/documents/infosupp_6_6_applicationfirewalls_codereviews.pdf

यहाँ मूल मुद्दा यह सुनिश्चित करें कि साइट कहीं भी शोषण नहीं किया जा सकता हो रहा है: यहाँ क्या पीसीआई सीधे कहते बारे में अधिक जानकारी है। यदि आप अपने आवेदन क्षेत्रों (सामान्य वेबसाइट बनाम क्रेडिट कार्ड डेटा) के बीच पर्याप्त "फ़ायरवॉल" विकसित करते हैं, तो यह दिखाने के लिए एक लंबा सफर तय करेगा कि आपको केवल कुछ कोड स्कैन करने की आवश्यकता है। साथ ही, जैसा उपरोक्त दस्तावेज़ बताता है, पीसीआई अनुपालन के लिए आपको स्रोत कोड समीक्षा करने की आवश्यकता नहीं है। हालांकि, यह सुनिश्चित करने के लिए कि आपके पास सामान्य भेद्यता से सुरक्षित है, आपके आवेदन को बड़े पैमाने पर परीक्षण करने की आवश्यकता है।

Answer 2

मैं पीसीआई अनुपालन के कानूनी विवरणों से बात नहीं कर सकता, लेकिन अगर मैं आपके सिस्टम का लेखा परीक्षक था तो मैं बहुत जोर से बोलूंगा यदि कोई गैर-प्रमाणित कोड प्रमाणित कोड चलाता है जो एक ही उपयोगकर्ता आईडी के रूप में चलता है।

मैं भी क्या setuid/setgid निष्पादनयोग्य प्रणाली पर हैं पर बहुत करीब से देखो चाहते हैं, क्या root के रूप में या ऊंचा capabilities(7) कि पीसीआई अनुरूप सॉफ्टवेयर को प्रभावित कर सकता के साथ चलता है, और मैं शायद इस तरह के AppArmor रूप mandatory access control उपकरणों की मांग करता हूँ , SElinux, TOMOYO, या SMACK, और एक उचित कॉन्फ़िगरेशन जो अविश्वसनीय निष्पादन डोमेन द्वारा सर्वर के पीसीआई-अनुपालन भागों के साथ छेड़छाड़ को रोकता है।