Dovrei preoccuparmi se il server del mio processore di pagamento con carta di credito consente solo suite di crittografia SSL deboli?

Ovviamente dovresti preoccuparti. Se il processore di pagamento con carta di credito non è in grado di risolvere problemi di sicurezza noti e ovvi (pochi giorni fa RC4 ha ottenuto esplicitamente proibito per l'uso con TLS da parte della IETF) che sono anche visibili in tutto il mondo dall'esterno, come sarà lo stato della loro sicurezza interna? Si noti che potrebbe non essere così male offrire RC4 per la compatibilità con i client più vecchi (vedere la altra risposta sui requisiti PCI ), ma in questo caso offre solo RC4 a tutti i client.

Non solo dovresti pensare in questo modo, ma anche gli autori di attacchi penseranno in questo modo e controlleranno i server provider e l'infrastruttura per problemi di sicurezza meno ovvi ma forse anche più seri. E probabilmente li troveranno, non sarebbe il primo . Questo in effetti può mettere a rischio anche i tuoi clienti e anche gli affari.

Un processore di pagamenti che accetta RC4 sta semplicemente soddisfacendo i requisiti PCI. (WAS - vedi aggiornamento sotto)

PCI non disabilita RC4. Tuttavia, considera la presenza di BEAST come un fallimento. E se hanno intenzione di mitigare la BESTIA e rimangono ampiamente compatibili, hanno bisogno di RC4 - " L'unico modo affidabile per difendersi da BEAST è dare la priorità alle suite di crittografia RC4 ". Le alternative implicano il supporto limitativo a TLSv1.1 +, che presenta problemi di compatibilità.

C'è un buon riepilogo del problema qui: BEAST vs RC4 Ciphers vs PCI

Detto questo , @ steffen-ullrich mi ha catturato nei commenti per sottolineare che il tuo provider è solo che supporta due suite RC4. Questa non è chiaramente una buona idea e non può essere completamente spiegata dal problema del PCI. Sono disposto a scommettere $ 2 in quarti che questo è stato il risultato di qualcuno che è stato detto di assicurarsi che il loro sito abbia passato il loro scanner PCI, quindi si sono dati da fare per ottenere qualcosa che sarebbe passato, e non si sono resi conto che non avrebbero dovuto andare per le cifre minime che passano.

Da febbraio 2015, quando questa risposta è stata scritta, il PCI Security Standards Council ha vietato RC4. Vedi, ad esempio, questo documento .

I cifrari deboli sono potenzialmente suscettibili agli attacchi man-in-the-middle (MITM). Su alcune reti come Wifis aperta in un coffee shop, un malintenzionato può interrompere la crittografia e decrittografare il traffico HTTPS.

Tuttavia gli attacchi contro RC4 non sono pratici secondo questo articolo di Qualys