Upgrade to Pro
— share decks privately, control downloads, hide ads and more …
Speaker Deck
Features
Speaker Deck
PRO
Sign in
Sign up for free
Search
Search
payjp-base-drink-pcidss-2016-04-27
Search
basedevteam
May 10, 2016
Technology
0
2.6k
payjp-base-drink-pcidss-2016-04-27
payjp-base-drink-pcidss-2016-04-27
basedevteam
May 10, 2016
Tweet
Share
More Decks by basedevteam
See All by basedevteam
base-drink-base-many-many-thumbnails-2016-04-27
basedevteam
0
2.6k
base-drink-base-bin-code-2016-04-27
basedevteam
0
2.6k
base-drink-base-ssl-2016-04-27
basedevteam
0
2.5k
payjp-base-drink-creditcard-2016-04-27
basedevteam
0
2.7k
Other Decks in Technology
See All in Technology
AWS学習者向けにAzureの解説スライドを作成した話
handy
3
180
Babylon.js JAPAN活動紹介 (2024/4)
limes2018
1
110
ワールドカフェI /チューターを改良する / World Café I and Improving the Tutors
ks91
PRO
0
150
よく聞くけど使ったことないソフトウェアNo.1 KafkaとSnowflake
foursue
4
490
アクセシビリティを考慮したUI/CSSフレームワーク・ライブラリ選定
yajihum
2
1.1k
Oracle Base Database Service 技術詳細
oracle4engineer
PRO
4
37k
Cracking the KubeCon CfP
inductor
2
270
「スニダン」開発組織の構造に込めた意図 ~組織作りはパッションや政治ではない!~
rinchsan
4
610
Microsoft Intune 勉強会 第 2 回目
tamaiyutaro
2
370
Além do else! Categorizando Pokemóns com Pattern Matching no JavaScript
wmsbill
0
700
MLOpsの「壁」を乗り越える、LINEヤフーの Data Quality as Code
lycorptech_jp
PRO
8
610
BPStudyの200回を中心にIT業界を振り返る。そしてこれから
haru860
3
390
Featured
See All Featured
Raft: Consensus for Rubyists
vanstee
133
6.3k
Side Projects
sachag
451
41k
Keith and Marios Guide to Fast Websites
keithpitt
408
22k
GraphQLの誤解/rethinking-graphql
sonatard
55
9.3k
GraphQLとの向き合い方2022年版
quramy
33
12k
jQuery: Nuts, Bolts and Bling
dougneiner
59
7.2k
Art, The Web, and Tiny UX
lynnandtonic
290
19k
JavaScript: Past, Present, and Future - NDC Porto 2020
reverentgeek
41
4.4k
Bash Introduction
62gerente
605
210k
Embracing the Ebb and Flow
colly
80
4.2k
Rebuilding a faster, lazier Slack
samanthasiow
74
8.2k
Git: the NoSQL Database
bkeepers
PRO
423
63k
Transcript
PCI-DSS の無茶振り、そして PCI-DSS に 準拠することによるその効果。
ココハドコワタシハダレ • Christopher S – of BASE, Inc. • PAY.JP
事業部のセキュリティエンジニア – セキュアなインフラ構築 – PCI-DSS 準拠のお手伝い
PCI-DSS とは何じゃ • Payment Card Industry Data Security Standard •
クレジットカード情報を取り扱う業者が任意で 準拠するセキュリティ指針 – 割賦販売法 (2010 年 12 月改正 ) 第 35 条で言及され る「必要な措置」として適する – 某マークよりよっぽどまとも • 常識的な項目から頭を抱える項目まで
頭を抱えた問題その 1 ログを監視して、そのログを監視して、さらに そのログを監視して… … • セキュリティの三大要素のうち 2 つ –
integrity – confidentiality
ログを監視するログを監視するログ を監視しているログ。 • integrity が破れると何も信じられなくなる だから集めてきた syslog は • まず参照元で改竄を監視し(当然これもログ)
• 集約サーバで整合性を検証し(もちろんこれもログ) • 最終転送先( Amazon S3 )でもファイル変更履歴を監視 し、ファイルのバージョンが複数になったら直ちに Lambda 経由で Slack に通報 最終的に Amazon を信じることになる
まぁ、大丈夫じゃろ ( AWS の各サービスは迅速に PCI-DSS 新バー ジョンに対応します)
頭を抱えた問題その 2 ハッシュ化された PAN とトランケートされた PAN の分離 • PAN –
(Primary Account Number) カード番号 のこと – 15 桁 (AMEX) か 16 桁の数字
• PAN のハッシュとそれに対応するカード番号の 一部が暴露されると、 50 億に満たない試行回 数でカード番号が解読できてしまう – DB から漏洩したときは
Issuer 情報も一緒に漏れる ことが想定され、その場合は 10 億回以下になる。 • 「ハッシュ化された PAN とトランケートされ た PAN (通常は下 4 桁)を関連付けられない ことを確認する」
None
無理です★ • トークン / カード ID と PAN の下 4
桁の情報は 同じ親ノード – 同じ機能で使われるから仕方ない
代替コントロール • どうしても無理な要件に対応するときの言い訳代 替手段 • PAN に関係するデータが存在するデータベース へのアクセスを記録? – RDS
だからそれもできない! – RDS へアクセスできるサーバへの SSH アクセスを通 知・記録する←ここに落ち着いた
まとめ • PCI-DSS の要件がらみで、カジュアルに無茶 を言われることがある – あれもこれもセキュリティのためだから仕方ない – 代替コントロールという手段はある •
どうやって代替とするかは腕の見せ所 • Amazon はエライ!