Magentoの - ペイパル - SSLV3：それは時にPayPalの中止SSL3は12月3日に動作しますか？

15

Poodleの脆弱性が原因で、PayPalからのメールを受け取りました。2014年12月3日から、支払いAPIを使用したSSLV3のサポートが終了します。

ただ、そこにそれを入れて、これが直接Magentoの1.9.0.1（最新）にPayPalの支払いのPro /ホスト型ソリューション/ Expressの支払いの統合に影響するかどうか誰もが知っているかどうか尋ねると思いましたか？

もしそうならば - 誰もが、私はMagentoの中で標準のPayPalモジュールを固定して行くことができる方法のアイデアを持っていますか？

ありがとう！

paypal

— ログインID
ソース

スタックオーバーフローで、このオーバーについて、いくつかのスレッドがすでにあります。しかし蒸散することを-基本的に、あなただけのcURLを使用してTLS経由でPayPalのAPIに接続する必要があります。

— ベンチマーク14年

こんにちはBenmarksは..私はちょうどMagentoの一部スタックオーバーフローサイト上で本当にこの上で検索をしたんだけどありません。私はそれらのスレッドを探して、さらにテストを実行できるかどうかを確認しましたが、それらを見つけることができないようです。リンクを渡してください。ありがとう！

— ログインID

2

私が理解しているように（そして間違っている場合は修正してください）、実際にはあなたのホスティング会社（共有プラットフォームの場合）またはあなた自身がVPSまたは専用サーバーの場合はSSLv3を無効にする必要があるということです。Webホストがこれを行う必要があります（まだ行っていない場合、および自分のサーバーに責任がある場合は、httpd.confを変更して以下を追加できると思います）。

SSLProtocol ALL -SSLv2 -SSLv3

これにより、v2とv3が無効になり、TLSが標準のフォールバック接続であると思います。

これはApacheが設定されているので、何か他のものを使用している場合、コードがわずかに変更される可能性がありますが、これが少し助けになることを願っていますが、他の人々の入力も聞いていただければ幸いです

— トニーポラード
ソース

あなたの情報のために、あなたは、あなたのWebサーバが現在のSSLv2かのSSLv3が、このサイトの使用有効になっているかどうかを確認するためにテストすることができfoundeo.com/products/iis-weak-ssl-ciphers/test.cfm

— トニー・ポラード

ああ！そのトニーのためのおかげで-私は今、私には理にかなっていると思います。したがって、Magentoのコーディング方法とは関係ありませんが、ホスティング会社が使用するSSL（またはSSLを使用しない）を構成する方法とすべて関係があります。

— ログインID

トニー、あなたは前にそれを持っている。サーバーが開始したアウトバウンド要求ではなく、インバウンド要求に対してサーバー側のSSLv3について言及しました。PayPalのメールが、後者に関するものです。

— チョコ・トイレ

ええ、ほとんどloginid、symantecはチェックツールもリリースしました。私が持っているVPSで上記の変更を実行し、現在両方のチェックをパスしているので、問題はありません。

— トニー・ポラード

チョコ-トイレ、私のサーバーを開始する場合、アウトバウンド要求、doesntのはのSSLv3を有効にしているが、その後、それが正しい使用カント？また、ブラウザと支払いゲートウェイもSSLv3のサポートを中止しています。これにより、すべての方法でこれが停止しませんか？とにかくMagentoが特定のプロトコルを使用しているとは思わないが、すべてが安全であることを確認しようとしている。あなたは時間があれば自分の考えを知って興味があります。

— トニー・ポラード

1

このコードをドロップしてください：

<html>
<head>
</head>
<body>
<?php
$url = "ssl://www.sandbox.paypal.com";
$fp = fsockopen ($url, 443);
if (is_resource ($fp)) {
    echo "not affected";
}
else {
    echo "affected";
}
?>
</body>
</html>

ファイルにあなたのMagentoのサイトのルートにPayPalの-TLS-test.phpを命名。次に、ブラウザでhttp://www.yoursite.com/paypal-tls-test.phpのように指定します。このスクリプトは、もはやのSSLv3をサポートしているPayPalのサンドボックスへの接続を作成しようとします。それが成功した接続を行う場合、それはあなたが大丈夫でしょう良い兆候です。そうでない場合は、やるべきことがあります。もちろん、これは実際のプロトコルがMagentoのどこかにハードコードされていないことを前提としています（スクリプトはサーバーの接続能力をチェックします）。

— ランドールHertzler
ソース

このスクリプトは、一方で、「影響はない」と言われますpoodlescan.comが言う「このサーバーはSSL v3プロトコルをサポートしています。」=>脆弱な。

— PiTheNumber 14年

0

そのすべてがCURLに接続します。確認する必要があるのは、サーバーのクライアント側curlライブラリがTLSをサポートしていることです（フォールバックできるように）。

、TLSを強制するには、次の定義と簡単なPHP CURLスクリプトを作成します

curl_setopt($curl_request, CURLOPT_SSLVERSION, CURL_SSLVERSION_TLSv1);

成功した場合、心配する必要はありません。そうでない場合は、libcurlとopensslの再コンパイルが必要になる可能性があります

— チョコ - トイレ
ソース

0

カールは、TLSを使用する必要がありますので、私の知る限り、私のクライアントの古代Magentoの1.4.1.1設定に、（カール経由）コアペイパルの通信は、任意の特定のプロトコルを強制していないときのSSLv3のためのペイパルドロップのサポート。

12月3日に確実にわかると思います。

— 賢くなる
ソース

12/3に...それはもう今TLSを使用する必要がありますが、それが壊れているのSSLv3、TLSへのロールバックするためにそれを強制的にMITMに対して脆弱だと、サーバ側がSSLにロールバックすることを拒否します。すべての可能性の場合は、ロールバックできないように、あなたのクライアント側を修正したい今ペイパルは最終的に彼らの側を修正するまで保護を提供します。

— ブライアン・ノブラウフ14年

0

私は、次の行を追加しました：

curl_setopt（$ curl_request、CURLOPT_SSLVERSION、CURL_SSLVERSION_TLSv1）;

テストPHPスクリプトに。これは、ブラウザで実行した後の結果です：

curl_setopt（$ curl_request、CURLOPT_SSLVERSION、CURL_SSLVERSION_TLSv1）;

これでいい？12月3日以降も、カール7.33.0バージョンとpaypalを使用できますか？はい！

よろしくJJ

— user16279
ソース

0

今日の私を呼び出し、私のウェブサイトは、SSL 3.0 /プードルを使用していることを私に語ったとDec.3に移行後は動作しません、私のPayPalアカウントマネージャは、だから、

これらは、開発サンドボックスサーバーを呼び出して受け入れ可能な応答を受け取ることができれば、すべてが大丈夫であると基本的に言っているこれらすべてのドキュメントを私に指摘しています。

コードもサーバー構成もまったく変更していません。私は開発のサンドボックスサーバー上でテストされ、すべてが完璧に罰金を通過します。Magentoの版 1.4.1.0

これは、12月3日にすべてが大丈夫であることを意味しますか？

注：https://www.poodlescan.com/を実行すると、すべてのWebサイトで引き続き以下のメッセージが表示されます。

「このサーバーはSSL v3プロトコルをサポートしています。」「このサーバーはSSL v2プロトコルをサポートしています。このプロトコルを実際に無効にする必要があります。」

どんな助けも大歓迎です。

— アルヴィン
ソース

つまり、あなたのサイトはすでにTLSを実行できますが、SSLに強制されてデータストリームをクラックする中間者攻撃に対して脆弱です。他の側がアップグレードされたときに自分のものは中断されませんが、あなたも安全ではありませんね。

— ブライアンKnoblauch

0

Apacheのhttpd.confを編集して、次のコードを追加します。

SSLHonorCipherOrder On
SSLProtocol -All +TLSv1

VPSまたは専用サーバーがある場合は、WHMを介してこれを行うこともできます。

[サービスの構成]-> [Apacheの構成]-> [エディターを含める]-> [メインの組み込み前]に移動します。

上記の2行を追加します。

次に、PayPalサンドボックスに接続して、SSLv3が無効になっていることをテストするか、Randall Hertzlerが提案したコードを追加します。

私は上記のことを自分で行いましたが、うまくいきます。

— マイク
ソース