Devrais-je m'inquiéter si le serveur du processeur de paiement par carte de crédit ne permet que des suites ciphères SSL faibles?
J'ai testé leur serveur en utilisant https://www.ssllabs.com/sssltest/ et, à part la note "B" décevante (elle gère financière Transactions, après tout), le serveur permet uniquement aux suites ciphères de deux RC4 suivantes, toutes deux considérées comme faibles:
TLS_RSA_WITH_RC4_128_MD5 (0x4) faible 128
TLS_RSA_WITH_RC4_128_SHA (0x5) faible 128
J'ai désactivé ces suites ciphères dans mon navigateur ( Google chrome ) il y a quelque temps, la transaction échoue, mais honnêtement, je ne veux pas les réactiver si elles sont considérées comme vulnérables. Devrais-je faire une exception pour ce cas particulier et réactiver temporairement les chiffres ou devrais-je insister, ils offrent une suite de chiffrement plus forte? Qu'est-ce que tu penses?
Bien sûr, vous devriez vous inquiéter. Si le processeur de paiement par carte de crédit n'est pas en mesure de résoudre des problèmes de sécurité bien connus et évidents (il y a quelques jours, RC4 a obtenu explicitement interdit d'être utilisé avec TLS par l'IETF) qui sont même visibles dans le monde entier de l'extérieur , comment sera le statut de leur sécurité interne? Note que ce n'est pas si mal d'offrir RC4 pour la compatibilité avec les clients plus âgés (voir la autre réponse concernant les exigences PCI ), mais dans ce cas, il offre RC4 à tous les clients.
Non seulement vous devriez penser de cette façon, mais les attaquants penseront également de cette façon et vérifieront le serveur des fournisseurs et les infrastructures moins évidentes, mais peut-être encore plus graves de problèmes de sécurité. Et ils les trouveront probablement, c'est ne serait pas un premier . Cela peut également mettre vos clients et aussi les affaires à risque également.
Un processeur de paiement qui accepte la RC4 est simplement satisfaisant aux exigences du PCI. (Était - voir la mise à jour ci-dessous)
PCI n'indique pas RC4. Il faut cependant considérer que la présence de bête est un échec. Et s'ils vont atténuer la bête et rester toujours largement compatibles, ils ont besoin de RC4 - " Le seul moyen fiable de défendre contre la bête est de hiérarchiser les suites ciphères RC4 ". Les alternatives impliquent la limitation de la prise en charge de TLSV1.1 +, qui ont des problèmes de compatibilité.
Il y a un bon résumé de la question ici: Beast vs RC4 Ciphers vs PCI
qui étant dit , @ Steffen-Ullrich m'a attrapé dans les commentaires pour signaler que votre fournisseur est seulement Soutenir deux suites RC4. Ce n'est clairement pas une bonne idée et ne peut être complètement expliqué par la question du PCI. Je suis disposé à parier 2 $ par trimestre que c'était le résultat d'une personne qui a été racontée de s'assurer que leur site a adopté son scanner PCI, alors ils sont donc montés avec cela pour obtenir quelque chose qui passerait et ne réalisait pas qu'ils ne devraient pas avoir Ne va pas pour les chiffres de passage minimum.
Depuis le février 2015, lorsque cette réponse a été écrite, le Conseil des normes de sécurité PCI a depuis interdit RC4. Voir, par exemple, ce document .
Les chiffres faibles sont potentiellement sensibles aux attaques man-in-intermédiaires (MITM). Sur certains réseaux tels que WIFIS ouverts dans un café, un attaquant malveillant peut casser le cryptage et déchiffrer le trafic HTTPS.
Cependant, les attaques contre RC4 sont irréalistes selon cela article de Qualys