クレジットカード決済プロセッサのサーバーが弱いSSL暗号スイートのみを許可するかどうか心配する必要がありますか？
私は https://www.ssllabs.com/ssltest/ を使用してサーバーをテストしましたが、残念な「B」評価は別として（financialトランザクション、結局のところ）、サーバーは次の2つの RC4 暗号スイートのみを許可します。どちらも弱いと見なされます。
TLS_RSA_WITH_RC4_128_MD5（0x4）WEAK 128
TLS_RSA_WITH_RC4_128_SHA（0x5）WEAK 128
ブラウザー（ Google Chrome ）でこれらの暗号スイートを少し前に無効にしたので、トランザクションは失敗しましたが、脆弱であると見なされた場合、正直にそれらを再度有効にしたくありません。この特定のケースを例外にして一時的に暗号を再度有効にする必要がありますか、それともより強力な暗号スイートを提供するように主張する必要がありますか？どう思いますか？
もちろん心配する必要があります。クレジットカード決済プロセッサがよく知られている明らかなセキュリティ問題（数日前にRC4が IETFによってTLS での使用が明示的に禁止された）を修正できない場合でも、これらは表示されます外から世界的に、彼らの内部のセキュリティの状態はどうですか？古いクライアントとの互換性のためにRC4を提供することはそれほど悪くないかもしれません（PCI要件に関する その他の回答 を参照）が、この場合はonlyすべてのクライアントにRC4。
このように考える必要があるだけでなく、攻撃者もこのように考え、プロバイダーサーバーとインフラストラクチャをチェックして、あまり明白ではないがおそらくより深刻なセキュリティ問題がないかを確認します。そして彼らはおそらくそれらを見つけるでしょう、それは 最初ではないでしょう 。これは事実上、顧客だけでなくビジネスにもリスクをもたらす可能性があります。
RC4を受け入れる支払いプロセッサは、単にPCI要件を満たしています。 （WAS-以下の更新を参照）
PCIはRC4を許可しません。ただし、BEASTの存在は失敗と見なされます。そして、彼らがBEASTを軽減し、それでも広く互換性を保つ場合は、RC4-" BEASTを防御する唯一の信頼できる方法は、RC4暗号スイートを優先することです "です。代替には、互換性の問題があるTLSv1.1 +へのサポートの制限が含まれます。
ここに問題の良い要約があります： BEAST vs RC4 Ciphers vs PCI
それは言われて、@ steffen-ullrichがコメントで私を捕まえ、プロバイダーがonlyが2つのRC4スイートをサポートしていることを指摘しました。これは明らかに良い考えではなく、PCIの問題で完全に説明することはできません。これは、自分のサイトがPCIスキャナーに合格したことを確認するように言われた誰かの結果であり、合格するものを得るためにそれをあちこち回っていたので、四半期に$ 2を賭けても構わないと思っています。最小の通過暗号には行きません。
この回答が書かれた2015年2月以降、PCI Security Standards CouncilはRC4を禁止しています。たとえば、 this document を参照してください。
弱い暗号は、中間者（MITM）攻撃の影響を受ける可能性があります。コーヒーショップのオープンWifiなどの特定のネットワークでは、悪意のある攻撃者が暗号化を解除し、HTTPSトラフィックを復号化する可能性があります。
ただし、RC4に対する攻撃は、実用的ではありません Qualysの記事