2

Olá

Tenho uma pequena dúvida quanto ao CURL e SSL.

Tenho visto que é inseguro colocar false em CURLOPT_SSL_VERIFYPEER, pois faria o CURL não verificar o SSL, possibilitando interceptação de dados.

Porém não entendi como isso poderia ocorrer. Por exemplo, tenho um script em um servidor que acessa outro servidor via https. Para alguém interceptar isso, ele necessitaria estar na mesma rede física do servidor onde meu script está hospedado, não? Se não, como se explicaria tal insegurança?

Obrigado

1
  • É possível sim, por isso que é recomendado o uso de criptografia para a transmissão de informações importantes. Commented 1/04/2016 às 19:40

2 Respostas 2

2

Supondo que esteja se conectando com um servidor HTTPS e define o CURLOPT_SSL_VERIFYPEER para false você se torna vulnerável a ataques de MITM, inclusive algumas bibliotecas já possuíram problemas com isso no passado, como por exemplo o Google AdWords PHP Client, uma vez que o stream_context_get_default() no PHP 5.6 e inferior não verificava os certificados eram emitidos por uma autoridade confiável (self-signed era válido), assim tornando vulnerável a conexões que não são reais da Google.

Em geral NUNCA desligue esta verificação.

Ter os dados transmitidos de maneira criptografadas não faz ser seguro, só será seguro se você garantir que o receptor da informação é realmente quem diz ser. Isso somente será possível se você definir o CURLOPT_PINNEDPUBLICKEY (disponível no PHP 7.0.7+) este é o mais seguro dos métodos. Uma outra opção e mais versátil é confiar em um autoridade (ex. Comodo) e então utilizar o CURLOPT_CAINFO para determinar quais autoridades são confiáveis para você e o CURLOPT_SSL_VERIFYPEER para true para verificar se o certificado foi emitido por alguém que você confia.


Caso não utilize o VERIFYPEER você está vulnerável para:

  • DNS Poisoning
  • Spoofing
  • Proxy Attacks
  • ARP Spoofing

etc...


O SSL sem utilizar o VERIFYPEER o máximo que pode ocorrer é a informação ser trafegada de maneira criptografada, mas não garante que o destino da sua conexão é real, o que anula parcialmente o proposito do SSL.

Imagine deseja se conectar com o https://google.com, então você precisa de um DNS que encontre o real host do google.com. O DNS é atacado e lhe envia para o 1.1.1.1. Este 1.1.1.1 utiliza um certificado self-signed com o nome de google.com, o seu CURL irá se conectar nele normalmente. Então este falso servidor terá como obter as informações que você enviaria para o google.com e para você não desconfiar ele faz um proxying para o real google.com, retornando resultados verdadeiros. Agora o servidor intermediário (1.1.1.1) tem as informações que você enviou e as resposta reais do google.com.

Do que adiantou ter o tráfego criptografado? Nada.

Se você desligar o CURLOPT_SSL_VERIFYHOST o certificado pode até ser de abc.com e está se conectando em xyz.com e será válido.


A "interceptação de dados" não vai ocorrer porque parou de usar o SSL! Vai ocorrer porque não necessariamente está se conectando com o servidor real, devido a não verificação do certificado.


Não precisa confiar em mim, palavras do próprio CURL:

WARNING: disabling verification of the certificate allows bad guys to man-in-the-middle the communication without you knowing it. Disabling verification makes the communication insecure. Just having encryption on a transfer is not enough as you cannot be sure that you are communicating with the correct end-point.

1
  • Agora eu entendi.... Obrigado pela explicação Commented 1/03/2017 às 1:20
2

Colocar "false" não torna nada inseguro, pois conexão ainda será SSL e criptografada. Você só não pode colocar false se estiver fazendo isso em um serviço ou link que necessita de certificados com validação, pois nesse caso, você receberia muitas queixas sobre não estar podendo fazer a autenticidade do certificado no site. Neste caso, é necessário este segurança, para evitar códigos maliciosos que assume a identidade da "microsoft.com" e que começa a criar hosts próprios de Windows Update, que podem ameaçar e comprometer a integridade do servidor, podendo enviar vírus ou abrir portas através de chaves que se instalam ou scripts maliciosos. Independentemente de qualquer configuração que você faça nisso, se você forçar uma conexão SSL, ela será segura e criptografada. Resumindo, colocar "true" só se faz necessário, se houver requisição de certificados, pois daí tem entrada de dados, aí existem perigos.

Aqui tem mais detalhes, se entender inglês.

1
  • Quando você diz entrada de dados, refere-se por exemplo ao envio de algum texto específico nessa chamada CURL? Commented 3/04/2016 às 14:59

Você deve fazer log-in para responder a esta pergunta.

Esta não é a resposta que você está procurando? Pesquise outras perguntas com a tag .