¿Debo preocuparme si el servidor del procesador de pagos con tarjeta de crédito solo permite paquetes de cifrado SSL débiles?

Por supuesto que debes preocuparte. Si el procesador de pagos con tarjeta de crédito no puede solucionar problemas de seguridad notorios y conocidos (hace unos días, RC4 consiguió explícitamente prohibido para uso con TLS por el IETF) que son visibles en todo el mundo desde afuera, ¿cómo será el estado de su seguridad interna? Tenga en cuenta que es posible que no sea tan malo ofrecer RC4 para la compatibilidad con clientes más antiguos (consulte la otra respuesta sobre los requisitos de PCI ), pero en este caso ofrece solo RC4 a todos los clientes.

No solo debe pensar de esta manera, sino que los atacantes también lo harán y verificarán el servidor y la infraestructura de los proveedores para detectar problemas de seguridad menos obvios, pero incluso más graves. Y probablemente los encontrarán, no sería la primera . Esto puede poner en riesgo a sus clientes y también a las empresas.

Un procesador de pagos que acepta RC4 simplemente cumple con los requisitos de PCI. (ERA - ver actualización a continuación)

PCI no permite RC4. Sin embargo, considera que la presencia de BEAST es un fracaso. Y si van a mitigar BEAST y siguen siendo ampliamente compatibles, necesitan RC4 - " La única forma confiable de defenderse contra BEAST es priorizar las suites de cifrado RC4 ". Las alternativas incluyen limitar el soporte a TLSv1.1 +, que tiene problemas de compatibilidad.

Hay un buen resumen del problema aquí: BEAST vs RC4 Ciphers vs PCI

Dicho esto , @ steffen-ullrich me sorprendió en los comentarios para señalar que su proveedor solo es compatible con dos suites RC4. Claramente, no es una buena idea y no puede explicarse completamente por el problema de PCI. Estoy dispuesto a apostar $ 2 en trimestres que este fue el resultado de alguien a quien se le dijo que se asegurara de que su sitio pasara su escáner PCI, por lo que se pusieron de acuerdo para obtener algo que pasaría, y no se dieron cuenta de que deberían hacerlo. No vaya por las cifras mínimas de paso.

Desde febrero de 2015, cuando se escribió esta respuesta, el Consejo de Normas de Seguridad de PCI ha prohibido RC4. Consulte, por ejemplo, este documento .

Los cifrados débiles son potencialmente susceptibles a los ataques de hombre en el medio (MITM). En ciertas redes, como abrir Wifis en una cafetería, un atacante malintencionado puede romper el cifrado y descifrar el tráfico HTTPS.

Sin embargo, los ataques contra RC4 no son prácticos de acuerdo con esto artículo de Qualys