...

Segurança Paypal TLS 1.2 e http/1.1 com sistemas operacionais mais antigos

Durante muitos meses, houve pedidos repetidos de Paypal aos usuários das interfaces fornecidas para atualizar seus sistemas para as versões atuais ou para estabelecer conexões somente através dos protocolos atuais. Em princípio, isto não é um problema, porque a maioria dos sistemas operacionais, mesmo aqueles com vários anos, podem suportar isto sem qualquer problema.

Você pode testar o seu sistema, por exemplo, com o seguinte comando:

php -r '$ch = curl_init(); curl_setopt($ch, CURLOPT_URL, "https://tlstest.paypal.com/"); var_dump(curl_exec($ch)); var_dump(curl_error($ch));'

O valor de retorno é ou

PayPal_Connection_OKbool(true)
string(0) "

ou se não resultar:

bool(falso)
string(17) "Erro de conexão SSL".

Este último erro ocorre, por exemplo, em Redhat/Centos6.

Em princípio, a ligação com o Redhat6 também funciona sob tls 1.2 mas infelizmente o programa usado "curl" não negocia automaticamente esta ligação com o tls1.2. Este bug foi atualizado pela Redhat em maio e também estará disponível para o Centos6 em breve. Como operador do servidor web você deve, portanto, atualizar todos os pacotes para a versão mais recente e, especialmente, usar o curl da versão 7.19.7-52. Redhat

Até lá, você teria que pedir ao curl para usar a versão atual, por exemplo, com :

php -r '$ch = curl_init(); curl_setopt($ch, CURLOPT_SSLVERSION, 6); curl_setopt($ch, CURLOPT_URL, "https://tlstest.paypal.com/"); var_dump(curl_exec($ch)); var_dump(curl_error($ch));'.

Mas não há necessidade de entrar em pânico. Devido à preguiça de atualização da maioria dos usuários, o Paypal prorrogou o prazo para alterar os protocolos ou desligar os protocolos antigos por 1 ano, até 30.6.2017.

Artigos actuais

Sala de servidores com servidores Linux e ícone de aviso relativo à falha de segurança do kernel do GhostLock
Segurança

GhostLock CVE – Análise técnica da vulnerabilidade do kernel do Linux

O GhostLock CVE-2026-43499 é uma vulnerabilidade crítica do tipo «use-after-free» no kernel do Linux. Nesta análise sobre o GhostLock CVE, apresentamos a cadeia de exploração para a escalada de privilégios até ao nível de root e fornecemos recomendações concretas de segurança para os administradores.