Mule Misconfiguration: Server Identity Verification Disabled

A configuração do Mule especifica uma conexão TLS sem a verificação de validação do certificado do servidor.

A verificação da certificação é essencial para confirmar a identidade da contraparte para uma comunicação segura. Um elemento tls:context define um conjunto de configurações de conexão TLS. Entre as configurações, o elemento tls:trust-store especifica um arquivo que contém certificados de Autoridades de Certificação confiáveis que um cliente usa para verificar um certificado apresentado por um servidor. Por padrão, o mecanismo de tempo de execução do Mule verifica o certificado do servidor para cada conexão TLS.

No entanto, se o valor do atributo insecure do elemento tls:trust-store for true, os certificados do servidor serão aceitos sem verificação.

Exemplo 1: A configuração do Mule a seguir define o atributo insecure como true. Como resultado, o mecanismo de tempo de execução do Mule não verifica o certificado do servidor de nenhuma conexão com o contexto de TLS chamado demoTlsContext. Essa conexão é vulnerável a um ataque man-in-the-middle.

...
<tls:context name="demoTlsContext">
...
    <tls:trust-store ... insecure="true" ... />
...
<tls:context/>
...