Paypal: "Umgehendes Handeln erforderlich"

[fishnet]

Am Dienstag, dem 14. Oktober 2014, wurden Informationen über eine Sicherheitslücke im SSL-Protokoll Version 3 (SSL 3.0) veröffentlicht. PayPal nimmt dies sehr ernst und hat seitdem rund um die Uhr daran gearbeitet, mögliche Auswirkungen auf unsere Kunden zu minimieren.

Um die durch das SSL-Protokoll entstandene Sicherheitslücke zu schließen und das damit verbundene potentielle Risiko aufzuheben, wird PayPal am 3. Dezember 2014 um 9.01 Uhr MEZ die Unterstützung von SSL 3.0 einstellen. Möglicherweise verursacht dieser notwendige Schritt Kompatibilitätsprobleme mit Ihrer PayPal-Integration. Dies könnte dazu führen, dass auf Ihrer Website keine PayPal-Zahlungen mehr möglich sind oder andere Probleme mit der Zahlungsverarbeitung auftreten.

Quelle: PayPal Rundmail

Was möchte mir das sagen? Muss an der derzeitigen Paypal API irgendwas angepasst werden ?

Linkback: https://www.modified-shop.org/forum/index.php?topic=31466.0

[Guenter59]

Hi fishnet
Ich würde vermuten, daß es eher mit dem SSL-Zertifikat zusammenhängt und der Shop damit nichts zu tun hat. Allzu viel ( genaugenommen keine ) Ahnung habe ich davon aber nicht.
Ich habe da so'ne Anleitung gefunden, wie man mindestens TLS1 verlangen kann.
Dazu muß man seinen Browser umkonfigurieren

    Gebt in die URL-Zeile „about:config“ ein.
    Sucht nach dem Wert „security.tls.version.min“ und setzt diesen auf „1“

Das habe ich probiert und der Shop verhält sich danach ganz normal ( also SSL wird als sicher eingestuft ).

Das ist aber auf jeden Fall ein wichtiges Thema und ich hoffe, daß sich dazu noch welche äußern, die mehr Ahnung von der Materie haben als ich

Gruß
GMS

[Alfred]

Was möchte mir das sagen? Muss an der derzeitigen Paypal API irgendwas angepasst werden ?

Leute mit IE6 können nicht mit Paypal bezahlen da der Browser nur das Protokoll unterstützt das Paypal jetzt heraus nimmt.

Man sollte die Sicherheitslücke kennen und dafür sorgen das dieses Protokoll nicht mehr vom eigenen Server unterstützt wird.
https://www.ssllabs.com/ssltest/index.html

Um den Browser seiner Wahl muss sich der Endanwender kümmern.

[Guenter59]

Hi Alfred
Hält Du es denn für sinnvoll seinen Browser auf
security.tls.version.min“   „1“
zu setzen?

Ich habe ein wenig gelesen und danach scheinen die Browserhersteller das auch ( in nächster Zeit ) so machen zu wollen

Gruß
GMS

[netscout]

Hi auch
Ist diese Meldung denn offiziell von PayPal? Hab von denen selbst nämlich nichts bekommen und auch im Presseportal oder Blog nichts dazu gefunden?
Allerdings hatte heise vor einiger Zeit ja mal etwas zu den POODLE Attacken geschrieben bei denen das SSL V3 betroffen war.

Greetz Jens

[webald]

Hält Du es denn für sinnvoll seinen Browser auf
security.tls.version.min“   „1“
zu setzen?

Wenn man weiss was man macht und sich ggf, dran erinnert, dass man die Version hoch gesetzt hat, wenn es Probleme gibt.

Besonders bei TLS 1.2 als Mindesversion muss man aufpassen, da das nicht von allen Servern unterstützt wird. Blöd wenn man durch so eine Einstellung seine Mails per Webbrowser nicht mehr lesen könnte.

[Viol]

Hi auch
Ist diese Meldung denn offiziell von PayPal?
Greetz Jens

Ja, die ist offiziell von PayPal, es wäre sicher sinnvoll, zu wissen, ob im Shop etwas verändert werden muss und ob es Unterschiede zwischen eigenem SSL oder Proxy SSL  gibt....

[netscout]

Hi Viol,
ja habs gerade in deren blog gefunden vom 10. November 

Vielleicht findet sich hier ja noch jemand, der sich damit besser auskennt? 

[Trailsurfrin]

PayPal hat in dieser Mail eine Handlungsempfehlung mitgeschickt...ich versteh ja nur Bahngof aber vielleicht hilfts...
https://ppmts-de.custhelp.com/app/answers/detail/a_id/1151

[Guenter59]

Hi
Etwas weiter oben hat Alfred dazu etwas geschrieben.
Greetz
GMS

[Bonsai]

Für alle denen es noch Unklar ist.

1) Auf die Adresse gehen, die Alfred oben gepostet hat
2) Seinen Webshop dort überprüfen lassen
3) Sollte nicht folgendes angezeigt werden:

[ Für Gäste sind keine Dateianhänge sichtbar ]

mit seinem Provider in Kontakt treten und diesem Beine machen.

[Viol]

Der Proxy Server von HostEurope ssl.webpack.de ist danach oK

[Matt]

So wie sich das liest geht es um Schnittstellenimplementierungen, die direkt SSL mit der PayPal-Schnittstelle reden, z.B. via Curl. Eine einfache Weiterleitung auf PayPal macht keine Probleme (außer für IE6-User).

Für Curl sollte es ausreichend sein includes/classes/paypal_checkout.php zu modifizieren und zwar so:
Nach Zeile 885 einfügen:

Code: PHP  [Auswählen]

        curl_setopt($ch, CURLOPT_SSLVERSION, CURL_SSLVERSION_TLSv1);

Und das gleiche noch mal nach Zeile 1323.

[sieghard]

Diese eMail von PayPal zur Abschaltung von SSL 3.0 haben wir heute auch erhalten.
Bevor ich jetzt aber unkontrolliert die PHP-Dateien unseres Shops ändere, möchte ich gerne fragen, ob hier wirklich ein Shop-Update nötig ist bzw. verfügbar sein wird?

Meines Wissens betrifft dies nur sehr alte Browser, und nicht unsere Shop-Installation.

[Matt]

Wenn dein Shop mittels Curl direkt mit PayPal spricht ist es völlig unerheblich wie alt oder neu dein Browser ist.