Supondo que esteja se conectando com um servidor HTTPS e define o CURLOPT_SSL_VERIFYPEER
para false
você se torna vulnerável a ataques de MITM, inclusive algumas bibliotecas já possuíram problemas com isso no passado, como por exemplo o Google AdWords PHP Client, uma vez que o stream_context_get_default()
no PHP 5.6 e inferior não verificava os certificados eram emitidos por uma autoridade confiável (self-signed era válido), assim tornando vulnerável a conexões que não são reais da Google.
Em geral NUNCA desligue esta verificação.
Ter os dados transmitidos de maneira criptografadas não faz ser seguro, só será seguro se você garantir que o receptor da informação é realmente quem diz ser. Isso somente será possível se você definir o CURLOPT_PINNEDPUBLICKEY
(disponível no PHP 7.0.7+) este é o mais seguro dos métodos. Uma outra opção e mais versátil é confiar em um autoridade (ex. Comodo) e então utilizar o CURLOPT_CAINFO
para determinar quais autoridades são confiáveis para você e o CURLOPT_SSL_VERIFYPEER
para true
para verificar se o certificado foi emitido por alguém que você confia.
Caso não utilize o VERIFYPEER
você está vulnerável para:
- DNS Poisoning
- Spoofing
- Proxy Attacks
- ARP Spoofing
etc...
O SSL sem utilizar o VERIFYPEER
o máximo que pode ocorrer é a informação ser trafegada de maneira criptografada, mas não garante que o destino da sua conexão é real, o que anula parcialmente o proposito do SSL.
Imagine deseja se conectar com o https://google.com
, então você precisa de um DNS que encontre o real host do google.com
. O DNS é atacado e lhe envia para o 1.1.1.1
. Este 1.1.1.1
utiliza um certificado self-signed
com o nome de google.com
, o seu CURL irá se conectar nele normalmente. Então este falso servidor terá como obter as informações que você enviaria para o google.com
e para você não desconfiar ele faz um proxying para o real google.com, retornando resultados verdadeiros. Agora o servidor intermediário (1.1.1.1
) tem as informações que você enviou e as resposta reais do google.com
.
Do que adiantou ter o tráfego criptografado? Nada.
Se você desligar o CURLOPT_SSL_VERIFYHOST
o certificado pode até ser de abc.com
e está se conectando em xyz.com
e será válido.
A "interceptação de dados" não vai ocorrer porque parou de usar o SSL! Vai ocorrer porque não necessariamente está se conectando com o servidor real, devido a não verificação do certificado.
Não precisa confiar em mim, palavras do próprio CURL:
WARNING: disabling verification of the certificate allows bad guys to
man-in-the-middle the communication without you knowing it. Disabling
verification makes the communication insecure. Just having encryption
on a transfer is not enough as you cannot be sure that you are
communicating with the correct end-point.