Magento - PayPal - SSLV3: มันจะทำงานเมื่อ PayPal หยุด SSL3 ในวันที่ 3 ธันวาคมหรือไม่

15

ฉันเพิ่งได้รับอีเมลจาก PayPal ระบุเนื่องจากช่องโหว่ของพุดเดิ้ลพวกเขาจะยุติการสนับสนุน SSLV3 โดยใช้ API การชำระเงินของพวกเขาตั้งแต่วันที่ 3 ธันวาคม 2014

แค่อยากจะวางไว้ที่นั่นและถามว่าใครรู้หรือไม่ว่าสิ่งนี้จะส่งผลโดยตรงกับการรวม PayPal Pro Pro / Hosted Solution / Express Payments รวมใน Magento 1.9.0.1 (ล่าสุด) หรือไม่

ถ้ามีใครมีความคิดว่าฉันจะไปแก้ไขโมดูล paypal มาตรฐานใน magento ได้อย่างไร

ขอบคุณ!

paypal

— ชื่อเข้าสู่ระบบ
แหล่งที่มา

มีหลายกระทู้เกี่ยวกับเรื่องนี้ที่ Stack Overflow โดยพื้นฐานแล้วคุณเพียงแค่ต้องเชื่อมต่อกับ API ของ PayPal ผ่าน TLS โดยใช้ cURL - อย่างไรก็ตามนั่นก็เกิดขึ้น

— benmarks

สวัสดี Benmarks .. ฉันทำการค้นหาในสิ่งนี้ แต่ไม่ได้อยู่ในไซต์ล้นสแต็กจริงๆแค่ส่วนวีโอไอพี ฉันแค่พยายามหาเธรดเหล่านั้นเพื่อดูว่าฉันสามารถทำการทดสอบเพิ่มเติมได้ แต่ดูเหมือนไม่พบพวกเขาคุณช่วยส่งลิงก์ให้ฉันหน่อยได้ไหม? ขอบคุณ!

— สู่ระบบ

2

ตามที่ฉันเข้าใจแล้ว (และโปรดแก้ไขให้ถูกต้องหากฉันผิด) ว่าอันที่จริงแล้ว บริษัท โฮสติ้งของคุณ (ถ้าบนแพลตฟอร์มที่ใช้ร่วมกัน) หรือตัวคุณเองถ้าอยู่บน VPS หรือเซิร์ฟเวอร์เฉพาะเช่นที่จะต้องปิดการใช้งาน SSLv3 ผู้ให้บริการพื้นที่เว็บของคุณควรทำสิ่งนี้หากยังไม่ได้ดำเนินการและหากคุณรับผิดชอบเซิร์ฟเวอร์ของคุณเองฉันเชื่อว่าคุณสามารถแก้ไข httpd.conf และเพิ่มรายการต่อไปนี้

SSLProtocol ALL -SSLv2 -SSLv3

สิ่งนี้จะปิดใช้งาน v2 และ v3 และฉันเชื่อว่า TLS เป็นการเชื่อมต่อทางเลือกมาตรฐาน

นี่คือหาก Apache กำหนดค่าดังนั้นหากคุณใช้อย่างอื่นรหัสอาจเปลี่ยนไปเล็กน้อย แต่หวังว่านี่จะช่วยคุณได้เล็กน้อย แต่ฉันก็ยินดีที่จะรับฟังความคิดเห็นจากคนอื่น ๆ ด้วยเช่นกัน

— โทนี่พอลลาร์
แหล่งที่มา

สำหรับข้อมูลของคุณคุณสามารถทดสอบเพื่อดูว่าเว็บเซิร์ฟเวอร์ของคุณเปิดใช้งาน SSLv2 หรือ SSLv3 หรือไม่โดยใช้เว็บไซต์นี้foundeo.com/products/iis-weak-ssl-ciphers/test.cfm

— Tony Pollard

ahuh! ขอบคุณสำหรับโทนี่ - ฉันคิดว่ามันสมเหตุสมผลสำหรับฉันตอนนี้ ดังนั้นจึงไม่มีอะไรเกี่ยวข้องกับวิธีการเข้ารหัสวีโอไอพีเลย แต่มีทุกอย่างที่เกี่ยวข้องกับวิธีที่ บริษัท โฮสติ้งกำหนดค่า SSL ไว้ (หรือไม่ใช้ SSL เลย)

— loginid

โทนี่คุณได้รับมันกลับไปด้านหน้า คุณได้กล่าวถึง SSLv3 ฝั่งเซิร์ฟเวอร์สำหรับคำขอขาเข้าไม่ใช่เซิร์ฟเวอร์ที่ส่งคำขอขาออก อีเมล PayPal เกี่ยวข้องกับสิ่งหลัง

— choco-loo

ใช่เข้าสู่ระบบมากไซแมนเทคได้เปิดตัวเครื่องมือตรวจสอบ ฉันดำเนินการเปลี่ยนแปลงตามที่อธิบายไว้ข้างต้นใน VPS ที่ฉันมีและการตรวจสอบทั้งสองตอนนี้ดังนั้นฉันจึงไม่ควรมีปัญหาใด ๆ

— Tony Pollard

choco-loo, ถ้าเซิร์ฟเวอร์ของฉันเริ่มต้นคำขอขาออก, แต่ไม่ได้เปิดใช้งาน SSLv3, มันจะใช้ไม่ถูกต้องหรือไม่? เบราว์เซอร์และเกตเวย์การชำระเงินกำลังหยุดการสนับสนุน SSLv3 ด้วยเช่นกันดังนั้นสิ่งนี้จะไม่หยุดหรือไม่ ฉันไม่เชื่อว่าวีโอไอพีจะใช้โปรโตคอลเฉพาะอยู่ดี แต่ฉันพยายามทำให้แน่ใจว่าทุกอย่างปลอดภัย สนใจที่จะรู้ความคิดของคุณถ้าคุณมีเวลา

— Tony Pollard

1

วางรหัสนี้:

<html>
<head>
</head>
<body>
<?php
$url = "ssl://www.sandbox.paypal.com";
$fp = fsockopen ($url, 443);
if (is_resource ($fp)) {
    echo "not affected";
}
else {
    echo "affected";
}
?>
</body>
</html>

ในไฟล์ชื่อ paypal-tls-test.php ในรูทของเว็บไซต์ Magento ของคุณ แล้วชี้เบราว์เซอร์ของคุณเพื่อมันเหมือนhttp://www.yoursite.com/paypal-tls-test.php สคริปต์พยายามเชื่อมต่อกับช่องทาง PayPal ที่ไม่รองรับ SSLv3 อีกต่อไป หากทำการเชื่อมต่อสำเร็จแสดงว่าคุณใช้งานได้ดี ถ้าไม่คุณมีงานต้องทำ แน่นอนว่านี้ถือว่าโปรโตคอลจริงไม่ได้มีการกำหนดค่าตายตัวใน Magento ไว้ที่ใดที่หนึ่ง (สคริปต์ตรวจสอบความสามารถของเซิร์ฟเวอร์ในการเชื่อมต่อ)

— Randall Hertzler
แหล่งที่มา

สคริปต์นี้บอกฉันว่า "ไม่ได้รับผลกระทบ" ในขณะที่poodlescan.comบอกว่า "เซิร์ฟเวอร์นี้รองรับโปรโตคอล SSL v3" => ช่องโหว่

— PiTheNumber

0

มันอยู่ในการเชื่อมต่อ CURL สิ่งที่คุณต้องตรวจสอบคือไลบรารี curl ฝั่งไคลเอ็นต์ของเซิร์ฟเวอร์รองรับ TLS (เพื่อให้สามารถย้อนกลับได้)

สร้างสคริปต์ PHP CURL อย่างง่ายพร้อมคำจำกัดความต่อไปนี้เพื่อบังคับใช้ TLS

curl_setopt($curl_request, CURLOPT_SSLVERSION, CURL_SSLVERSION_TLSv1);

หากประสบความสำเร็จคุณไม่มีอะไรต้องกังวล หากไม่เป็นเช่นนั้นคุณอาจต้องใช้ libcurl และ openssl อีกครั้ง

— Choco-ห้องน้ำ
แหล่งที่มา

0

เท่าที่ฉันสามารถบอกได้จากการตั้งค่า Magento 1.4.1.1 โบราณของลูกค้าการสื่อสารหลักของ Paypal (ผ่านทาง curl) ไม่ได้บังคับโปรโตคอลใด ๆ ดังนั้น Curl ควรใช้ TLS เมื่อ Paypal รองรับ SSLv3

ฉันเดาว่าฉันจะรู้ได้อย่างแน่นอนในวันที่ 3 ธันวาคม

— รับฉลาด
แหล่งที่มา

ตอนนี้ควรใช้ TLS อยู่แล้ว แต่มีความเสี่ยงต่อ MITM ที่บังคับให้ย้อนกลับจาก TLS เป็น SSLv3 ซึ่งใช้งานไม่ได้ ... ในวันที่ 12/3 ฝั่งเซิร์ฟเวอร์จะปฏิเสธการย้อนกลับเป็น SSL ถ้าเป็นไปได้คุณต้องการที่จะแก้ไขปัญหาด้านลูกค้าของคุณเพื่อไม่อนุญาตให้ย้อนกลับในขณะนี้เพื่อให้การป้องกันจนในที่สุด Paypal แก้ไขด้านของพวกเขา

— Brian Knoblauch

0

ฉันเพิ่มบรรทัดต่อไปนี้:

curl_setopt ($ curl_request, CURLOPT_SSLVERSION, CURL_SSLVERSION_TLSv1);

เป็นสคริปต์ทดสอบ PHP นี่คือผลลัพธ์หลังจากเรียกใช้งานผ่านเบราว์เซอร์:

curl_setopt ($ curl_request, CURLOPT_SSLVERSION, CURL_SSLVERSION_TLSv1);

ตกลงไหม ฉันสามารถทำงานกับ curl รุ่น 7.33.0 และ paypal หลังจากวันที่ 3 ธันวาคมได้หรือไม่ ฉันเดาใช่!

ขอแสดงความนับถือ JJ

— user16279
แหล่งที่มา

0

ดังนั้นผู้จัดการบัญชี paypal ของฉันโทรหาฉันวันนี้และบอกฉันว่าเว็บไซต์ของฉันใช้ ssl 3.0 / poodle และจะไม่ทำงานหลังจากการย้ายข้อมูลในวันที่ 3 ธันวาคม

พวกเขาชี้ให้ฉันเห็นเอกสารเหล่านี้ทั้งหมดซึ่งโดยทั่วไปบอกว่าถ้าฉันสามารถโทรไปยังเซิร์ฟเวอร์แซนด์บ็อกซ์การพัฒนาและได้รับการตอบรับที่ยอมรับได้ทุกอย่างก็โอเค

ฉันไม่ได้เปลี่ยนอะไรเลยในรหัสหรือการกำหนดค่าเซิร์ฟเวอร์ ฉันทดสอบบนเซิร์ฟเวอร์แซนด์บ็อกซ์การพัฒนาและทุกอย่างผ่านไปได้อย่างสมบูรณ์แบบ วีโอไอพีเวอร์ชั่น 1.4.1.0

สิ่งนี้หมายความว่าทุกสิ่งควรจะตกลงมาวันที่ 3 ธันวาคม?

หมายเหตุเว็บไซต์ทั้งหมดของฉันยังคงให้ข้อความด้านล่างเมื่อทำงานผ่านhttps://www.poodlescan.com/

"เซิร์ฟเวอร์นี้รองรับโปรโตคอล SSL v3" "เซิร์ฟเวอร์นี้รองรับโปรโตคอล SSL v2 คุณควรปิดใช้งานโปรโตคอลนี้จริง ๆ "

ความช่วยเหลือใด ๆ ที่จะได้รับการชื่นชมอย่างมาก.

— อัลวิน
แหล่งที่มา

ซึ่งหมายความว่าเว็บไซต์ของคุณสามารถทำ TLS ได้แล้ว แต่มีความเสี่ยงต่อการถูกโจมตีจากคนกลางซึ่งบังคับให้คุณต้องใช้ SSL และทำการถอดรหัสข้อมูล ข้อมูลของคุณจะไม่แตกเมื่ออัพเกรดอีกฝั่ง แต่คุณยังไม่ปลอดภัย

— Brian Knoblauch

0

แก้ไข httpd.conf ของ Apache ให้คุณและเพิ่มรหัสต่อไปนี้:

SSLHonorCipherOrder On
SSLProtocol -All +TLSv1

คุณสามารถทำได้ผ่าน WHM หากคุณมี VPS หรือเซิร์ฟเวอร์เฉพาะ:

ไปที่การกำหนดค่าบริการ -> การกำหนดค่า Apache -> รวมตัวแก้ไข -> รวมหลักไว้ล่วงหน้า

และเพิ่มสองบรรทัดด้านบน

จากนั้นคุณอาจเชื่อมต่อกับ PayPal sandbox เพื่อทดสอบว่า SSLv3 ถูกปิดใช้งานหรือคุณอาจเพิ่มรหัส Randall Hertzler ที่แนะนำในคำตอบของเขา

ฉันทำไปแล้วและใช้งานได้ดี

— ไมค์
แหล่งที่มา