• 13 mai 2016

    Paypal renforce la sécurité de l’accès à ses API à compter du 16 juin 2016

    Paypal renforcera le niveau de sécurité requis pour communiquer avec ses services en forçant l’utilisation de TLSv1.2 et HTTP/1.1 pour les communications en HTTPS en désactivant TLSv1.0 et TLSv1.1.

    Ce niveau de sécurité sera obligatoire à compter du 17 juin 2016 (source 1) dans le cas contraire, ces services ne seront plus accessibles.

    La page Github TLS-update (source 3) indique des niveaux de versions requis selon les différents frameworks (java, .net,  php, python, ruby, node.js)

    Dans le cas de certains de ces frameworks, comme php, le support de TLSv1.2 dépend de la version d’openssl installée sur le système, openssl doit être au minimum en version version 1.0.1 ce qui signifie que les systèmes debian antérieur à la version wheezy (disposant d’OpenSSL 1.0.1e) ne permettront pas d’utiliser TLSv1.2

    Pour vérifier la version d’openssl installée :

    openssl version

    Pour vérifier si cette version support TLS et quelle version :

    openssl ciphers -v | grep TLS

    Dans le cas d’une version supportant TLSv1.2, vous devriez avoir un affichage similaire à :

    Capture d’écran 2016-05-12 à 12.08.41

     

    La page Github TLS-update (3) donne aussi un bout de code php permettant de tester l’accès à Paypal en TLSv1.2

    # il faut php5-curl installé
    php -r '$ch = curl_init(); curl_setopt($ch, CURLOPT_URL, "https://tlstest.paypal.com/"); var_dump(curl_exec($ch)); var_dump(curl_error($ch));'

     

    Références

    https://devblog.paypal.com/upcoming-security-changes-notice/

    https://www.paypal-knowledge.com/infocenter/index?page=content&id=FAQ1914&expand=true&locale=en_US

    https://github.com/paypal/TLS-update

     

    Article rédigé par Stéphane Clodic – ITWO WebOps Sénior chez Oxalide

Newsletter

Inscrivez-vous et tenez vous au courant de l’actualité Oxalide