PayPalがSSL3.0のサポートを2014年12月5日で終了します
この記事は公開から 1年以上が経過しています。現在の最新情報との整合性については弊社では一切の責任を負いかねます。
Magentoを使う場合に日本で利用できる決済方法として、一番手軽に始められるのはPayPalです。
2015年にはeBayグループからPayPalは独立すると報じられていますが、PayPalとMagentoの関係はeBay傘下になる前に始まっており、他の決済方法以上にMagentoの基本機能に組み込まれる形で提供がなされています。
この関係性はMagento2でも今のところ変わることはなく、MagentoとしてはPayPal連携は標準状態で使えるものとして提供がなされる予定になっています。
そのPayPalですが、今年10月に公表されたSSL3.0の脆弱性、通称POODLEへの対策として、2014年12月5日付でSSL3.0のサポートを終了すると発表しました。既にSSL3.0のサポートを独自に終了されたサイト運営者の方も多いとは思いますが、PayPalを使われている場合は今一度検証をされたほうが良いかもしれません。
PayPalのサービスとSSL3.0
PayPalの各種サービスは、基本的にHTTP通信を用いる前提で設計されています。
そのため、購入内容の情報は原則として暗号化された状態でPayPalとWebサイト(またはアプリケーション)の間でやりとりされます。この暗号化方式はPayPal側のURLが「https://」で始まることからも分かる通り、SSLまたはTLSによる暗号化が用いられています。
今回、SSL3.0のサポートが終了することに伴い、PayPalと連携しているWebサイトやアプリケーションは全てTLSへの移行が必須になります。そのためSSL3.0でしか動かないWebサイトやアプリケーションは12月5日以降、正しく動作しなくなる可能性が非常に高いと言えます。
12月5日まであと3週間程度しかないので、PayPalを利用しているWebサイトやアプリケーションは確認と対応を急ぐ必要があります。
WebサイトやアプリケーションがTLSのみでも正しく動くことを検証するには
PayPalはSandboxというテスト環境を公開しています。
本物のPayPalアカウントとほぼ同じ動作をする環境をPayPal自身が提供してくれているわけです(もちろん無料で利用できます)。この環境を用いて動作検証を行うことがPayPalから推奨されています。
Sandboxを使って動作検証を行う理由
PayPalのSandbox環境では既にSSL3.0が無効化されています。ですからこの環境でPayPalの各種サービスと正しく連携ができるのであれば、何も心配はいらない、ということになります。
もし問題がでた場合は、Sandbox上で正しく動くようになるまで、調整を行います。そして調整ができたものを本番として使用します。
MagentoとPayPalを連携させている場合に確認すること
まず何よりもApacheやNginx、あるいはSSLアクセラレータ機能を持ったロードバランサー等の設定でSSL3.0が有効になっているかどうかをチェックします。これはPayPalのためだけでなく、通常の顧客マイページであったり、購入画面を保護するために必要だからです。
なお、Magentoの内部処理ではPayPalに対してAPI経由でアクセスを行っていますが、基本的にPayPal側がSSL3.0を許可しなくなれば自動的にPHP側はTLSで通信を行おうとするため、特に意識する必要はありません。
さらに安全度を上げるためにやっておくと良いこと
SSL3.0の脆弱性は、「暗号化された通信の内容が第三者によって盗聴・解読される」というものです。
大量の通信データの中から、任意に抽出したデータを使用してという前提が尽きますが、公衆無線LANやホテル・ネットカフェ等の不特定多数の利用者がいる環境ではサンプルとなるデータを集めやすいため、リスクも増大します。
PayPalではExpressCheckoutやWebsite Payment Plus等の連携に使用する認証情報を更新することを推奨しています。これはなぜかというと、この脆弱性が公表されるまで、あるいは公表されてから無効化されるまでの間に、不特定多数の利用者がいる環境で、PayPalとの連携に使用している情報が漏洩した可能性が否定出来ないからです。(絶対ありえない、と完全否定できないのであれば、認証情報自体を新しくしてしまえ、というわけですね)
ですから、PayPalとしては認証情報を更新しておくことで、万一認証情報が何かの拍子で漏洩していたとしても被害を極小化できると主張しているわけです。
もちろんプラスアルファの対策なので、必須ではありませんが、より安全度を上げたいのであれば、更新しておくのがよいでしょう。
- お知らせ (34)
- Magento Open Source (169)
- Adobe Commerce (86)
- Magentoトピックス (349)
- Magentoバージョンアップ (11)
- OroCommerce (1)
- AkeneoPIM (16)
- Shopware (26)
- 世界のプライバシー保護規制 (11)
- OroCRM (14)
- Typo3 (9)
- イベント (27)
- Mage-OS (1)
- エクステンションリリース情報 (75)
- Mautic (1)