Insecure SSL: Server Identity Verification Disabled

当进行 SSL 连接时，服务器身份验证处于禁用状态。

在某些使用 SSL 连接的库中，默认情况下不验证服务器证书。这相当于信任所有证书。在其他实例中，这可以被显式禁用，而不管有意还是无意。

示例 1：此应用程序始终验证证书链是否正确，进而信任所有证书。

...
private bool CertificateCheck(object sender, X509Certificate certificate, X509Chain chain, SslPolicyErrors sslPolicyErrors)
{
  ...
  return true; 
}
...
  HttpWebRequest webRequest = (HttpWebRequest) WebRequest.Create("https://www.myTrustedSite.com");
  webRequest.ServerCertificateValidationCallback = CertificateCheck;
  WebResponse response = webRequest.GetResponse();
...

当尝试连接到“https://www.myTrustedSite.com”时，此应用程序将随时接受颁发给“hackedserver.com”的证书。此时，当服务器被黑客攻击发生 SSL 连接中断时，应用程序可能会泄漏用户敏感信息。

当进行 SSL 连接时，服务器身份验证处于禁用状态。

在一些使用 SSL 连接的库中，可以禁用服务器证书验证。这相当于信任所有证书。

例 1： 此应用程序显式禁用了证书验证：

...
  SSL_CTX_set_verify(ctx, SSL_VERIFY_NONE, verify_callback);
...

当尝试连接到有效主机时，此应用程序将随时接受颁发给“hackedserver.com”的证书。此时，当服务器被黑客攻击发生 SSL 连接中断时，应用程序可能会泄漏用户敏感信息。

当进行 SSL 连接时，服务器身份验证处于禁用状态。

在某些使用 SSL 连接的库中，默认情况下不验证服务器证书。这相当于信任所有证书。

示例 1：此应用程序没有明确地验证服务器证书。

    ...
    config := &tls.Config{
        // Set InsecureSkipVerify to skip the default validation
        InsecureSkipVerify: true,
        ...
    }

    conn, err := tls.Dial("tcp", "example.com:443", conf)
    ..
    

尝试连接到 example.com 时，此应用程序会随时接受服务器颁发的任何证书。当服务器被黑客攻击发生 SSL 连接中断时，此应用程序可能会泄漏用户敏感信息。

当进行 SSL 连接时，服务器身份验证处于禁用状态。

在某些使用 SSL 连接的库中，默认情况下不验证服务器证书。这相当于信任所有证书。

示例 1：此服务器错误地尝试验证客户端连接：

...
var options = {
  key : fs.readFileSync('my-server-key.pem'),
  cert : fs.readFileSync('server-cert.pem'),
  requestCert: true,
  ...
}
https.createServer(options);
...

创建 https.Server 对象时，requestCert 设置会指定为 true，但未设置 rejectUnauthorized，其默认设置为 false。这意味着尽管服务器是为了通过 SSL 验证客户端而创建，但即使未使用提供的 CA 列表对证书进行授权，也仍然会接受连接。

示例 2：此应用程序尝试通过 SSL 连接到服务器：

var tls = require('tls');
...
tls.connect({
  host: 'https://www.hackersite.com',
  port: '443',
  ...
  rejectUnauthorized: false,
  ...
});

在此示例中，如果 rejectUnauthorized 设置为 false，这意味着将接受未经授权的证书，并且仍然会与无法识别的服务器建立安全连接。此时，当服务器被黑客攻击发生 SSL 连接中断时，应用程序可能会泄漏用户敏感信息。

当进行 SSL 连接时，服务器身份验证处于禁用状态。

在某些使用 SSL 连接的库中，默认情况下不验证服务器证书（或可以通过显式配置这样做）。这相当于信任所有证书。

示例 1：此代码将 NSURLConnectionDelegate 配置为接受任意 HTTPS 证书：

implementation NSURLRequest (IgnoreSSL)

+ (BOOL)allowsAnyHTTPSCertificateForHost:(NSString *)host
{
  return YES;
}

@end

当尝试使用Example 1 中的 NSURLRequest 实现方式连接到受 SSL 保护的服务器时，如果所请求服务器的证书为自签名证书（进而未经验证），则不会出现警告或错误。因此，应用程序现在可能会通过断开的 SSL 连接泄漏敏感的用户信息。

当进行 SSL 连接时，服务器身份验证处于禁用状态。

在一些使用 SSL 连接的库中，可以禁用服务器证书验证。这相当于信任所有证书。

例 1：此应用程序在默认情况下不会验证服务器证书：

...
import ssl
ssl_sock = ssl.wrap_socket(s)
...

当尝试连接到有效主机时，此应用程序将随时接受颁发给“hackedserver.com”的证书。此时，当服务器被黑客攻击发生 SSL 连接中断时，应用程序可能会泄漏用户敏感信息。

当进行 SSL 连接时，服务器身份验证处于禁用状态。

在一些使用 SSL 连接的库中，可以禁用服务器证书验证。这相当于信任所有证书。

例 1： 此应用程序显式禁用了证书验证：

require 'openssl'
...
ctx = OpenSSL::SSL::SSLContext.new
ctx.verify_mode=OpenSSL::SSL::VERIFY_NONE
...

当尝试连接到有效主机时，此应用程序将随时接受颁发给“hackedserver.com”的证书。此时，当服务器被黑客攻击发生 SSL 连接中断时，应用程序可能会泄漏用户敏感信息。

当进行 SSL 连接时，服务器身份验证处于禁用状态。

在某些使用 SSL 连接的库中，默认情况下不验证服务器证书（或可以通过显式配置这样做）。这相当于信任所有证书。

示例 1：此代码将 NSURLConnectionDelegate 配置为接受任意 HTTPS 证书：

class Delegate: NSObject, NSURLConnectionDelegate {
    
    ...

    func connection(connection: NSURLConnection, canAuthenticateAgainstProtectionSpace protectionSpace: NSURLProtectionSpace?) -> Bool {
        return protectionSpace?.authenticationMethod == NSURLAuthenticationMethodServerTrust
    }

    func connection(connection: NSURLConnection, willSendRequestForAuthenticationChallenge challenge: NSURLAuthenticationChallenge) {
        challenge.sender?.useCredential(NSURLCredential(forTrust: challenge.protectionSpace.serverTrust!), forAuthenticationChallenge: challenge)
        challenge.sender?.continueWithoutCredentialForAuthenticationChallenge(challenge)
    }
}

当尝试使用Example 1 中的 NSURLConnectionDelegate 实现方式连接到受 SSL 保护的服务器时，如果所请求服务器的证书为自签名证书（进而未经验证），则不会出现警告或错误。因此，应用程序现在可能会通过断开的 SSL 连接泄漏敏感的用户信息。

示例 2：在 NSURLSession 类中，SSL/TLS 链验证由您的应用程序的身份验证代理方法进行处理，但是您的应用程序并未向服务器提供用于验证用户或应用程序的凭据，而是检查服务器在 SSL/TLS 握手期间提供的凭据，然后告诉 URL 加载系统是应接受还是应拒绝这些凭据。以下代码显示的 NSURLSessionDelgate 直接将接收到的质询中的 proposedCredential 作为会话凭据传回，从而成功绕过了服务器验证：

class MySessionDelegate : NSObject, NSURLSessionDelegate {
    ...
    func URLSession(session: NSURLSession, didReceiveChallenge challenge: NSURLAuthenticationChallenge, completionHandler: (NSURLSessionAuthChallengeDisposition, NSURLCredential?) -> Void) {
        ...
        completionHandler(NSURLSessionAuthChallengeDisposition.UseCredential, challenge.proposedCredential)
        ...
    }
    ...
}