Требуется немедленное действие — уязвимость SSL 3.0

Я получил это письмо от PayPal, но я не понимаю, что они пытаются сказать,

какой сервис они останавливают с 3 декабря 2014 года,

Я использую экспресс-оплату за мой сайт

мне нужно купить новый SSL?

Immediate action required

XYZ,

On October 14, 2014, details were released about a vulnerability to
version 3 of Secure Sockets Layer (SSL 3.0). Since that time, PayPal has
been hard at work to mitigate any potential impact to our consumers and
merchant customers.

To help mitigate risk associated with this vulnerability, PayPal will
discontinue support for SSL 3.0 on DECEMBER 3, 2104 AT 12:01 A.M.
PACIFIC STANDARD TIME. Unfortunately, this necessary step may cause
compatibility problems resulting in the inability for customers to pay
with PayPal on your site or other processing issues.

We wouldn't have been able to extend our support of SSL 3.0 to December
3, 2014, at 12:01 a.m. PST if we hadn't also been able to take
significant steps to migrate the risk of this vulnerability for our
customers. We want to assure our customers we have seen no evidence that
the SSL 3.0 issue has led to any compromise of security at PayPal.

Keeping our customers' accounts, data and money secure is PayPal's top
priority and a guiding principle when we make challenging decisions,
like this one.

We're here to help our merchants through this process. We've put
together a comprehensive Merchant Response Guide [1] to ensure systems
are secure from this vulnerability.

WHAT DO I NEED TO DO?

If you don't manage website integrations for your business, we strongly
encourage you to work with your website service partner (developer,
hosting company or e-commerce platform, etc.) and share the Merchant
Response Guide [1], which provides the basic guidelines on how to update
to Transport Layer Security (TLS). If your website service has questions
or need support, advise them to contact our Merchant Technical Support
[2].

Thank you for your prompt attention to move this issue and understanding
of our approach. Though we recognize this necessary step may cause
compatibility issues, we can't stress enough that this short-term
inconvenience is heavily outweighed by our joint promise to our
respective customers that we will keep their accounts and financial
details safe. We plan to keep our customers up to date on how we are
addressing this issue via the appropriate channels, including PayPal
Forward [3], our Twitter handle [4], Customer Service [5] and for
merchants, through our Merchant Services team.

For technical assistance, please call 855-489-0342.

We appreciate your patience and understanding as we work around the
clock to better serve you and keep you and our consumers safe.

Help [6] Contact [7]Fees [8] Security [9] Features [10] Shop [11]

Please do not reply to this email. We are unable to respond to inquiries
sent to this address. For immediate answers to your questions, visit our
Help Center by clicking "Help" on any PayPal page.

© 2014 PayPal Inc. All rights reserved. PayPal is located at 2211 N.
First St., San Jose, CA 95131.

Call
Send SMS
Add to Skype
You'll need Skype CreditFree via Skype

Links:
------
[1] https://ppmts.custhelp.com/app/answers/detail/a_id/1147
[2] https://ppmts.custhelp.com/
[3] https://www.paypal-community.com/t5/PayPal-Forward/bg-p/PPFWD
[4] https://twitter.com/AskPayPal
[5] https://www.paypal.com/us/webapps/helpcenter/helphub/home/
[6] https://www.paypal.com/us/cgi-bin/webscr?cmd=_help
[7] https://www.paypal.com/us/cgi-bin/webscr?cmd=_help&t=escalateTab
[8] https://www.paypal.com/us/webapps/mpp/paypal-fees
[9] https://www.paypal.com/us/webapps/mpp/paypal-safety-and-security
[10] https://www.paypal.com/us/webapps/mpp/about-paypal-products
[11] https://shopping.paypal.com/index

0

Решение

Нет, проблема связана с уязвимостью POODLE, из-за которой мы отключаем проверку на основе SSLv3 при вызове API PayPal.

Когда вы отправляете запрос в API PayPal, система пытается убедиться, что вы действительно общаетесь с PayPal, а не с кем-то еще. Для этого мы использовали для шифрования некоторых данных с использованием протокола SSLv3. Теперь, когда Google обнаружил ошибку с SSLv3, мы осуществляем обновление до TLSv1.

Для этого вам нужно выполнить шаги, показанные в https://ppmts.custhelp.com/app/answers/detail/a_id/1182

В зависимости от того, на каком языке вы работаете, изменения могут отличаться. Исправление довольно простое, однако самое время обновить весь SDK до последней версии, которая может иметь больше исправлений и функций.

0

Другие решения

Пока ваша инфраструктура связана с последней реализацией SSL, у вас все должно быть в порядке.

Например, если у вас установлена ​​последняя версия ветки OpenSSL 0.9.8, она поддерживает TLSv1 в дополнение к старым протоколам (включая SSLv3).

Если у вас установлена ​​последняя версия OpenSSL 1.0.1, она поддерживает TLSv1, TLSv1.1 и TLSv1.2 в дополнение к старым протоколам.

Но если вы используете что-то более старое без поддержки TLS, вам придется обновить его, чтобы использовать его с PayPal.

AFAIR, PayPal Express Checkout позволяет вам иметь кнопку, чтобы ваши покупатели были перенаправлены на сайт PayPal и обрабатывали свои платежи там. В этом случае все шифрование выполняется PayPal.
Хитрость в том, что покупатели возвращаются на вашу сторону, чтобы подтвердить заказ. Вы должны убедиться, что ваш сайт может общаться с PayPal по протоколу https с семейством протоколов TLS.

0

По вопросам рекламы [email protected]