Magento - PayPal - SSLV3: Funcionará quando o PayPal interromper o SSL3 em 3 de dezembro?

15

Acabei de receber um e-mail do PayPal informando que, devido à vulnerabilidade do Poodle, eles interromperão o suporte ao SSLV3 usando sua API de pagamento a partir de 3 de dezembro de 2014.

Só queria divulgá-lo e perguntar se alguém sabe se isso afetará diretamente a integração de pagamentos do PayPal Payment Pro / Solução Hospedada / Express no Magento 1.9.0.1 (mais recente)?

Se sim - alguém tem uma idéia de como posso corrigir os módulos paypal padrão no magento?

Obrigado!

paypal

— identificação de usuário
fonte

Já existem vários tópicos sobre isso no Stack Overflow. Essencialmente, você só precisa se conectar à API do PayPal via TLS usando cURL - no entanto, isso acontece.

— benmarks

Oi Benmarks .. Eu fiz uma pesquisa sobre isso, mas não realmente no site de estouro de pilha, apenas a parte magento. Eu apenas tentei procurar por esses tópicos para ver se posso fazer mais testes, mas não consigo encontrá-los. Você poderia me passar alguns links? Obrigado!

— usar o seguinte

2

Pelo que entendi (e me corrija se estiver errado), é de fato a sua empresa de hospedagem (se estiver em uma plataforma compartilhada) ou você mesmo se estiver em um servidor VPS ou Dedicado, por exemplo, que teria que desativar o SSLv3. Seu host deve fazer isso, se ainda não o fez, e se você é responsável por seu próprio servidor, acredito que você pode modificar seu httpd.conf e adicionar o seguinte;

SSLProtocol ALL -SSLv2 -SSLv3

Isso desativará as v2 e v3 e acredito que o TLS é a conexão de fallback padrão.

Isto é, se o Apache estiver configurado, se você estiver usando outra coisa, o código poderá mudar um pouco, mas espero que isso ajude um pouco, mas eu ficaria grato por ouvir outras pessoas opinando sobre isso também.

— Tony Pollard
fonte

Para sua informação, você pode testar para ver se o seu servidor web tem atualmente SSLv2 ou SSLv3 ativado usar esse site foundeo.com/products/iis-weak-ssl-ciphers/test.cfm

— Tony Pollard

ahuh! Obrigado por Tony - acho que isso faz sentido para mim agora. Portanto, não tem nada a ver com a maneira como o Magento é codificado, mas tem tudo a ver com a maneira como a empresa de hospedagem configurou qual SSL (ou não usando SSL agora) é usado.

— LoginID

Tony, você está de volta à frente. Você mencionou o SSLv3 do lado do servidor para solicitações de entrada, não solicitações de saída iniciadas pelo servidor. O email do PayPal está relacionado ao último.

— choco-loo

Sim, praticamente o loginid, a Symantec também lançou uma ferramenta de verificação. Executei a alteração que descrevi acima em um VPS que possuo e ele passou as duas verificações agora, portanto, não deveria ter nenhum problema.

— Tony Pollard

choco-loo, se meu servidor iniciar uma solicitação de saída, mas o SSLv3 não estiver ativado, não será possível usá-lo corretamente? Além disso, os navegadores e os gateways de pagamento também estão interrompendo o suporte ao SSLv3; portanto, isso não impede tudo? Não acredito que o Magento sequer use um protocolo específico, mas estou tentando garantir que tudo esteja seguro. Esteja interessado em conhecer seus pensamentos, se tiver tempo.

— Tony Pollard

1

Solte este código:

<html>
<head>
</head>
<body>
<?php
$url = "ssl://www.sandbox.paypal.com";
$fp = fsockopen ($url, 443);
if (is_resource ($fp)) {
    echo "not affected";
}
else {
    echo "affected";
}
?>
</body>
</html>

em um arquivo chamado paypal-tls-test.php na raiz do seu site Magento. Em seguida, aponte o seu navegador para ele como http://www.yoursite.com/paypal-tls-test.php . O script tenta fazer uma conexão com a sandbox do PayPal, que não oferece mais suporte ao SSLv3. Se a conexão for bem-sucedida, é uma boa indicação de que você ficará bem. Caso contrário, você tem trabalho a fazer. Obviamente, isso pressupõe que o protocolo real não esteja codificado no Magento em algum lugar (o script verifica a capacidade do seu servidor para fazer a conexão).

— Randall Hertzler
fonte

Esse script me diz "não afetado", enquanto poodlescan.com diz "Este servidor suporta o protocolo SSL v3". => VULNERÁVEL.

— PiTheNumber

0

Está tudo na conexão CURL. O que você precisa verificar é que a biblioteca de ondulação do lado do cliente do servidor oferece suporte ao TLS (para que ele possa fazer o fallback).

Crie um script PHP CURL simples com a seguinte definição para forçar o TLS,

curl_setopt($curl_request, CURLOPT_SSLVERSION, CURL_SSLVERSION_TLSv1);

Se for bem-sucedido, você não precisa se preocupar com nada. Caso contrário, você provavelmente precisará de uma recompilação de libcurl e openssl

— choco-loo
fonte

0

Até onde eu sei, na antiga configuração Magento 1.4.1.1 do meu cliente, as comunicações principais do Paypal (via curl) não forçam nenhum protocolo específico, portanto, o curl deve usar o TLS quando o Paypal dispensar o suporte ao SSLv3.

Acho que vou descobrir com certeza no dia 3 de dezembro.

— Ficando mais sábio
fonte

Ele já deve estar usando TLS agora, MAS é vulnerável ao MITM forçando-o a reverter de TLS para SSLv3, que está quebrado ... Em 12/3, o servidor recusará a reversão para SSL. SE possível, você deseja corrigir o lado do cliente para não permitir a reversão agora para fornecer proteção até o Paypal finalmente corrigir o lado deles.

— precisa

0

Eu adicionei a seguinte linha:

curl_setopt ($ curl_request, CURLOPT_SSLVERSION, CURL_SSLVERSION_TLSv1);

em um script php de teste. E este é o resultado após executá-lo através de um navegador:

curl_setopt ($ curl_request, CURLOPT_SSLVERSION, CURL_SSLVERSION_TLSv1);

está bem? Posso trabalhar com minha versão curl 7.33.0 e paypal também após o dia 3 de dezembro? Eu acho que sim!

Atenciosamente JJ

— user16279
fonte

0

Então, meu gerente de contas paypal me liga hoje e diz que meus sites estão usando ssl 3.0 / poodle e não funcionarão após a migração em 3 de dezembro

Eles me apontam para todos esses documentos que basicamente dizem que, se eu puder fazer uma ligação para o servidor sandbox de desenvolvimento e receber uma resposta aceitável, tudo estará bem.

Eu mudei absolutamente nada no código nem na configuração do servidor. Eu testei no servidor sandbox de desenvolvimento e tudo passa perfeitamente bem. Magento ver. 1.4.1.0

Isso significa que tudo deve ficar bem em 3 de dezembro?

Observe que todos os meus sites ainda me fornecem as mensagens abaixo ao acessar https://www.poodlescan.com/

"Este servidor suporta o protocolo SSL v3." "Este servidor suporta o protocolo SSL v2. Você realmente deve desabilitar este protocolo."

Qualquer ajuda seria muito apreciada.

— Alvin
fonte

Isso significa que seu site já é capaz de executar TLS, mas é vulnerável a um ataque intermediário, que o leva a SSL e depois quebra o fluxo de dados. Suas coisas não quebram quando o outro lado é atualizado, mas você também não está seguro.

— Brian Knoblauch

0

Edite o httpd.conf do Apache e adicione o seguinte código:

SSLHonorCipherOrder On
SSLProtocol -All +TLSv1

Você também pode fazer isso via WHM se tiver um servidor VPS ou servidor dedicado:

Vá para Service Configuration -> Apache Configuration -> Include Editor -> Pre Main Include

e adicione as duas linhas acima.

Em seguida, conecte-se à sandbox do PayPal para testar se o SSLv3 foi desativado ou adicione o código que Randall Hertzler sugeriu em sua resposta.

Eu já fiz o que foi dito acima e funciona bem.

— Mike
fonte