Insecure SSL: Server Identity Verification Disabled

建立 SSL 連線時停用了伺服器身分驗證。

在某些使用 SSL 連線的程式庫中，依預設不驗證伺服器憑證。這等於信賴所有憑證。在其他實例中，可以明確停用此作業，無論是否是故意的。

範例 1：此應用程式會始終驗證憑證鏈結是否正確，因而您可信賴所有憑證。

...
private bool CertificateCheck(object sender, X509Certificate certificate, X509Chain chain, SslPolicyErrors sslPolicyErrors)
{
  ...
  return true; 
}
...
  HttpWebRequest webRequest = (HttpWebRequest) WebRequest.Create("https://www.myTrustedSite.com");
  webRequest.ServerCertificateValidationCallback = CertificateCheck;
  WebResponse response = webRequest.GetResponse();
...

當嘗試連線到 "https://www.myTrustedSite.com" 時，此應用程式會立即接受核發給 "hackedserver.com" 的憑證。現在，此應用程式可能會在有漏洞的 SSL 連線上將使用者敏感資訊洩漏給被駭客入侵的伺服器。

建立 SSL 連線時停用了伺服器身分驗證。

在某些使用 SSL 連線的程式庫中，可以停用伺服器憑證驗證。這等於信賴所有憑證。

範例 1：此應用程式明確停用了憑證驗證：

...
  SSL_CTX_set_verify(ctx, SSL_VERIFY_NONE, verify_callback);
...

此應用程式在嘗試連線到有效主機時，會立即接受核發給「hackedserver.com」的憑證。現在，此應用程式可能會在有漏洞的 SSL 連線上將使用者敏感資訊洩漏給被駭客入侵的伺服器。

建立 SSL 連線時停用了伺服器身分驗證。

在某些使用 SSL 連線的程式庫中，依預設不驗證伺服器憑證。這等於信賴所有憑證。

範例 1：此應用程式未明確驗證伺服器憑證。

    ...
    config := &tls.Config{
        // Set InsecureSkipVerify to skip the default validation
        InsecureSkipVerify: true,
        ...
    }

    conn, err := tls.Dial("tcp", "example.com:443", conf)
    ..
    

此應用程式在嘗試連線到 example.com 時會立即接受此伺服器核發的任何憑證。此應用程式可能在有漏洞的 SSL 連線上，將使用者敏感資訊洩漏給被駭客入侵的伺服器。

建立 SSL 連線時停用了伺服器身分驗證。

在某些使用 SSL 連線的程式庫中，依預設不驗證伺服器憑證。這等於信賴所有憑證。

範例 1：此伺服器錯誤嘗試驗證用戶端連線：

...
var options = {
  key : fs.readFileSync('my-server-key.pem'),
  cert : fs.readFileSync('server-cert.pem'),
  requestCert: true,
  ...
}
https.createServer(options);
...

建立此 https.Server 物件時，requestCert 設定被指定為 true，但未設定 rejectUnauthorized，進而預設為 false。這表示，雖然伺服器的建立是為了透過 SSL 驗證用戶端，但是即使憑證未使用所提供之 CA 的清單進行授權，依然會接受連線。

範例 2：此應用程式嘗試透過 SSL 連線至伺服器：

var tls = require('tls');
...
tls.connect({
  host: 'https://www.hackersite.com',
  port: '443',
  ...
  rejectUnauthorized: false,
  ...
});

在此範例中，由於 rejectUnauthorized 已設定為 false，所以表示將接受未經授權的憑證，並且仍會與無法識別的伺服器建立連線。現在，此應用程式可能會在有漏洞的 SSL 連線上將使用者敏感資訊洩漏給被駭客入侵的伺服器。

建立 SSL 連線時停用了伺服器身分驗證。

在某些涉及 SSL 連線的程式庫中，依預設不驗證伺服器憑證 (或者，可以明確配置執行這項作業)。這等於信賴所有憑證。

範例 1：此程式碼會將 NSURLConnectionDelegate 配置為接受任何 HTTPS 憑證：

implementation NSURLRequest (IgnoreSSL)

+ (BOOL)allowsAnyHTTPSCertificateForHost:(NSString *)host
{
  return YES;
}

@end

當嘗試利用實作 Example 1 的 NSURLRequest 連線到以 SSL 保護的伺服器時，如果所要求的伺服器憑證是自行簽署的憑證 (並因而不會驗證)，那麼將不會產生任何警告或錯誤。因此，應用程式現在可能會透過有漏洞的 SSL 連線洩漏敏感的使用者資訊。

建立 SSL 連線時停用了伺服器身分驗證。

在某些使用 SSL 連線的程式庫中，可以停用伺服器憑證驗證。這等於信賴所有憑證。

範例 1：根據預設，此應用程式不會驗證伺服器憑證：

...
import ssl
ssl_sock = ssl.wrap_socket(s)
...

此應用程式在嘗試連線到有效主機時，會立即接受核發給「hackedserver.com」的憑證。現在，此應用程式可能會在有漏洞的 SSL 連線上將使用者敏感資訊洩漏給被駭客入侵的伺服器。

建立 SSL 連線時停用了伺服器身分驗證。

在某些使用 SSL 連線的程式庫中，可以停用伺服器憑證驗證。這等於信賴所有憑證。

範例 1：此應用程式明確停用了憑證驗證：

require 'openssl'
...
ctx = OpenSSL::SSL::SSLContext.new
ctx.verify_mode=OpenSSL::SSL::VERIFY_NONE
...

此應用程式在嘗試連線到有效主機時，會立即接受核發給「hackedserver.com」的憑證。現在，此應用程式可能會在有漏洞的 SSL 連線上將使用者敏感資訊洩漏給被駭客入侵的伺服器。

建立 SSL 連線時停用了伺服器身分驗證。

在某些涉及 SSL 連線的程式庫中，依預設不驗證伺服器憑證 (或者，可以明確配置執行這項作業)。這等於信賴所有憑證。

範例 1：此程式碼會將 NSURLConnectionDelegate 配置為接受任何 HTTPS 憑證：

class Delegate: NSObject, NSURLConnectionDelegate {
    
    ...

    func connection(connection: NSURLConnection, canAuthenticateAgainstProtectionSpace protectionSpace: NSURLProtectionSpace?) -> Bool {
        return protectionSpace?.authenticationMethod == NSURLAuthenticationMethodServerTrust
    }

    func connection(connection: NSURLConnection, willSendRequestForAuthenticationChallenge challenge: NSURLAuthenticationChallenge) {
        challenge.sender?.useCredential(NSURLCredential(forTrust: challenge.protectionSpace.serverTrust!), forAuthenticationChallenge: challenge)
        challenge.sender?.continueWithoutCredentialForAuthenticationChallenge(challenge)
    }
}

當嘗試利用實作 Example 1 的 NSURLConnectionDelegate 連線到以 SSL 保護的伺服器時，如果所要求的伺服器憑證是自行簽署的憑證 (並因而不會驗證)，那麼將不會產生任何警告或錯誤。因此，應用程式現在可能會透過有漏洞的 SSL 連線洩漏敏感的使用者資訊。

範例 2：在 NSURLSession 類別中，SSL/TLS 鏈結驗證將由應用程式的驗證委派方法來處理，使用此方法時，應用程式不會提供憑證來向伺服器驗證使用者 (或應用程式)，而是檢查伺服器在 SSL/TLS 交握期間提供的驗證，然後告知 URL 載入系統應接受還是拒絕這些憑證。以下程式碼顯示 proposedCredential 剛剛將所收到的挑戰之 NSURLSessionDelgate 傳回作為階段作業的憑證，以有效地避開伺服器驗證：

class MySessionDelegate : NSObject, NSURLSessionDelegate {
    ...
    func URLSession(session: NSURLSession, didReceiveChallenge challenge: NSURLAuthenticationChallenge, completionHandler: (NSURLSessionAuthChallengeDisposition, NSURLCredential?) -> Void) {
        ...
        completionHandler(NSURLSessionAuthChallengeDisposition.UseCredential, challenge.proposedCredential)
        ...
    }
    ...
}