Gestores de etiquetas y riesgo del lado del cliente: por qué amplían la superficie de ataque y cómo gobernarlos

Qué es un gestor de etiquetas y por qué lo usan los equipos

Un gestor de etiquetas es un servicio que sus páginas cargan como un solo script. Desde una consola web, los equipos de marketing, analítica y producto configuran después qué «etiquetas» (pequeños fragmentos de código o scripts de proveedores, como analítica, píxeles de publicidad y herramientas de encuestas) se ejecutan en qué páginas y cuándo. Los cambios entran en vigor cuando alguien publica una versión nueva del contenedor; no interviene ningún desarrollador ni proceso de publicación.

Esa rapidez es la razón de que los gestores de etiquetas sean populares, y es también lo que cambia el panorama de seguridad. Las personas que pueden publicar suelen estar fuera del equipo de ingeniería y de su proceso de revisión, y el contenedor es un script que puede contener, o cargar, cualquier otro script.

Por qué los gestores de etiquetas amplían la superficie de ataque

• El permiso de publicar equivale a ejecutar código. Una cuenta del gestor de etiquetas con permiso de publicar puede añadir código personalizado que se ejecuta en todas las páginas. Un atacante que robe o consiga por phishing una de esas cuentas no necesita tocar su sitio ni sus servidores.
• Los cambios eluden el control de cambios. Una etiqueta añadida en la consola no está en su repositorio, ni en su revisión de código, ni en su registro de despliegues, a menos que haga de la consola parte de su proceso de cambios.
• Cadenas de scripts. Una etiqueta carga un script de un proveedor, que puede cargar otros scripts. La lista de etiquetas del contenedor es por tanto una mala guía de lo que realmente se ejecuta.
• El contenedor es en sí un script de terceros. Puede cambiar en cualquier momento, así que no se puede fijar con Integridad de Subrecursos (SRI), y su contenido depende de quién publicó por última vez.
• Presión sobre su Política de Seguridad de Contenido. Algunas funciones de los gestores de etiquetas dependen de código en línea o de construir código a partir de cadenas de texto, lo que debilita una Política de Seguridad de Contenido (CSP) si no se trata con cuidado. Consulte la documentación de su proveedor sobre la política que requiere.
• Etiquetas obsoletas. Las etiquetas de campañas que terminaron, de herramientas que ya no se usan o de proveedores sin contrato siguen ahí y siguen ejecutándose.

Son riesgos de cualquier JavaScript de terceros, concentrados en un solo lugar y fáciles de cambiar.

Cómo gobernar un gestor de etiquetas

Decida qué pertenece a las páginas de pago

El paso más sencillo y más fuerte es mantener el gestor de etiquetas, o al menos sus etiquetas de marketing, fuera de la página de pago. Si el negocio necesita algo en esa página, use un contenedor aparte y restringido, con una lista corta y revisada de etiquetas, en lugar del contenedor que sirve a todo el sitio.

Controle quién puede publicar

• Dé permiso de publicar a la menor cantidad posible de personas, con autenticación multifactor en todas las cuentas.
• Separe el derecho de editar del derecho de publicar, y exija que una segunda persona apruebe cada publicación.
• Elimine las cuentas cuando las personas se vayan o cambien de función, y revise la lista periódicamente.
• Cuando el producto lo permita, desactive o restrinja las etiquetas de código personalizado en las páginas de pago.

Lleve un registro y compárelo con la realidad

• Haga una lista de cada etiqueta con un motivo comercial, un responsable y una aprobación, como en cómo crear un inventario de scripts de la página de pago.
• Conserve el historial de versiones y el registro de auditoría del contenedor, y revise qué cambió en cada publicación.
• Después de cada publicación, compruebe lo que carga realmente la página de pago, incluidos los scripts que cargan a su vez las etiquetas. Compárelo con la lista aprobada y avise de las diferencias: cómo detectar la manipulación del lado del cliente.
• Elimine las etiquetas que ya no se necesiten.

Trate al proveedor como un tercero

Entienda cómo protege su proveedor de gestor de etiquetas su servicio y su entrega, y gestione la relación conforme al requisito 12.8 de PCI DSS. El etiquetado del lado del servidor, en el que un servidor y no el navegador envía los datos a los proveedores, reduce cuánto código de terceros se ejecuta en el navegador del visitante, pero traslada la confianza a la configuración de su propio servidor y no elimina la necesidad de estos controles.

Gestores de etiquetas y PCI DSS

El requisito 6.4.3 se aplica a todos los scripts que se cargan y se ejecutan en el navegador del consumidor en una página de pago. Un script cargado por un gestor de etiquetas es uno de ellos, por lo que necesita una entrada en el inventario, una autorización y un método de integridad como cualquier otro; y un cambio publicado en la consola es un cambio que el 11.6.1 debería notar. Vea PCI DSS 6.4.3 explicado.