ssl - 禁用 CURLOPT_SSL_VERIFYPEER (libcurl/openssl) 的安全后果

Question

我从this thread知道禁用 CURLOPT_SSL_VERIFYHOST 时可能发生哪些攻击。我想知道当禁用 VERIFYPEER 而不是 _VERIFYHOST 时可能发生哪些攻击。使用信用卡付款的风险是否可以接受？

(我问的原因是因为我的 code 只能在禁用 _VERIFYPEER 的情况下使用，尽管似乎没人知道为什么)

Answer 1

如果您禁用 CURLOPT_SSL_VERIFYPEER，curl 将不会检查证书是否确实由可信机构签署。 这是非常危险的!在 MITM 情况下，没有 VERIFYPEER，攻击者可以简单地用他自己的“自签名”证书替换真实证书，只要主机名匹配(他总是可以这样做，因为他正在制作证书)，您的应用程序将接受它。

您的代码可能会失败，因为您没有设置 CA 证书存储，并且您正在与之通信的服务器是由不在 curl 的默认存储库中的 CA 签名的。考虑使用 CURLOPT_CAINFO 或 CURLOPT_CAPATH 指定要验证的证书，并确保您用于验证的证书可访问并与目标服务器的证书相匹配。