ssl - 禁用 CURLOPT_SSL_VERIFYHOST (libcurl/openssl) 的安全后果

Question

启用 CURLOPT_SSL_VERIFYPEER 和禁用 CURLOPT_SSL_VERIFYHOST 的安全后果是什么？

Answer 1

• CURLOPT_SSL_VERIFYPEER检查远程证书是否有效，即您相信它是由您信任的 CA 颁发的并且是真实的。

• CURLOPT_SSL_VERIFYHOST检查证书是否已颁发给您想与之交谈的实体。

将其与现实生活场景进行比较，VERIFYPEER 就像检查身份证明的形式是否是您认可的形式(即来自您信任的国家/地区的护照，来自您认识的公司的员工卡，...)。 VERIFYHOST 就像检查名片上的真实姓名是否与您想与之交谈的人相匹配。

如果您不使用 VERIFYHOST(顺便说一句，正确的值是 2，而不是 1)，您将禁用主机名验证并打开 MITM 攻击的大门:任何拥有您信任的 ID 形式的人都可以冒充该集合中的任何人您信任的 ID，例如任何持有有效护照的人都可以假装自己是其他任何持有有效护照的人。