Payment gateway e TLS 1.2: cosa fare per tenersi pronti

Entro breve tempo tutti i gateway delle principali piattaforme per i pagamenti online, come per esempio PayPal, aggiorneranno i loro API server in modo da accettare soltanto le richieste cifrate tramite protocollo TLS 1.2; per questioni di sicurezza dovute all'obsolescenza di SSL la stessa modifica dovrebbe coinvolgere anche i Web service che si basano su API per l'integrazione in progetti di terze parti.

Per quanto riguarda le tempistiche, è ragionevole che i sistemi server coinvolti vengano aggiornati quanto prima. Detto questo il PCI Security Standards Council ha stabilito un termine massimo fissato per il 30 giugno del 2018, ma alcuni gateway stanno operando in vista di una rapida transizione che nel caso del già citato PayPal non dovrebbe concludersi più tardi del 30 giugno 2017.

Se si lavora con PHP, per verificare che il proprio ambiente di produzione supporti TLS 1.2 sarà necessario fare riferimento ad alcuni requisiti minimi, il Web server utilizzato dovrà infatti disporre di OpenSSL 1.0.1 o versione successiva, in alternativa si potrà ricorrere ad un'altra libreria crittografica purché compatibile con TLS 1.2. Contestualmente la release di PHP impiegata non dovrà essere precedente alla 5.5.19 e sarà necessario cURL 7.34.0 o versione più recente.

Per chi utilizza una soluzione CMS come WordPress è disponibile un apposita estensione (TLS 1.2 Compatibility Test Plugin) che permette di stabilire se TLS 1.2 è stato abilitato a livello server per il proprio sito Web. Nel caso in cui si desideri forzare TLS 1.2 in cURL lo si potrà fare disponendo come minimo di OpenSSL 1.0.1 e aggiornando la SSLVERSION adottata; trattandosi di un'operazione effettuata manualmente anche le eventuali modifiche future della SSLVERSION dovranno essere eseguite manualmente fino all'adeguamento del proprio sistema.

L'aggiornamento per il supporto a TLS 1.2 dei server potrebbe non essere del tutto indolore, questo discorso vale in particolare per quelle installazioni di WordPress che presentano codice personalizzato basato su versioni datate di PHP; si tenga poi conto del fatto che l'upgrade potrebbe necessitare della reinstallazione di alcuni moduli tra cui la stessa libreria cURL. Stesso discorso per quanto riguarda le API utilizzate, dopo l'adeguamento vi potrebbero quindi essere degli esiti imprevisti nel tentativo di comunicare con server API che non hanno ancora provveduto ad integrare la compatibilità con TLS 1.2.

Via Jason Coleman