SSL 인증서 검증 꺼짐

위험도: 중간 CWE-295 OWASP A02:2021 Cryptographic Failures rule: ssl_verify

왜 위험한가요

인증서 검증을 끄면 네트워크 중간에 있는 누구나 호출하는 API인 척하며 API 키를 포함한 데이터를 엿보거나 바꿀 수 있습니다.

✕ 취약한 코드

curl_setopt($ch, CURLOPT_SSL_VERIFYPEER, false);

✓ 안전한 코드

curl_setopt($ch, CURLOPT_SSL_VERIFYPEER, true);
curl_setopt($ch, CURLOPT_SSL_VERIFYHOST, 2);

CURLOPT_SSL_VERIFYPEER는 true, CURLOPT_SSL_VERIFYHOST는 2로 두세요. 끄면 통신을 가로챌 수 있습니다.

내 코드 검사하기

파일을 붙여넣으면 이 규칙에 걸리는 줄을 모두 찾아드립니다.