Sicherheits Folgen CURLOPT_SSL_VERIFYHOST deaktivieren (Libcurl/openssl)

Question

Welche Sicherheits Folgen Aktivieren CURLOPT_SSL_VERIFYPEER und Deaktivieren CURLOPT_SSL_VERIFYHOST?

Answer 1

• CURLOPT_SSL_VERIFYPEER überprüft, ob der Remote-Zertifikat gültig ist, das heißt, dass Sie darauf vertrauen, dass sie von einer Zertifizierungsstelle ausgestellt wurde, denen Sie vertrauen, und dass es echt ist.

• CURLOPT_SSL_VERIFYHOST überprüft, ob das Zertifikat an die Entität ausgegeben wurde, mit der Sie sprechen möchten.

Um es zu einem realen Szenario zu vergleichen, ist VERIFYPEER wie die Überprüfung, dass die Form von ID ist eine, die Sie (zB Pass aus einem Land, den Sie vertrauen, Personal-Karte von einem Unternehmen, wissen Sie erkennen .. .). VERIFYHOST ist so, als würde man den tatsächlichen Namen auf der Karte überprüfen, der mit dem übereinstimmt, mit dem man sprechen möchte.

Wenn Sie VERIFYHOST nicht verwenden (der korrekte Wert ist 2, nicht 1, BTW), deaktivieren Sie die Überprüfung des Hostnamens und öffnen Sie die Tür zu MITM-Angriffen: Jeder mit einer Form von ID, die Sie vertrauen, kann sich als jemand ausgeben eine Reihe von IDs, denen Sie vertrauen, z Jeder mit einem gültigen Pass könnte so tun, als wäre er jemand mit einem gültigen Pass.