Conas neamhaird a dhéanamh ar earráidí deimhnithe SSL le cURL: Treoir céim ar chéim

Agus iarratais HTTP á gcomhlíonadh ag baint úsáide as cURL, uaireanta bíonn saincheist ann le deimhnithe SSL a fhíorú. Féadann sé seo tarlú nuair a úsáidtear teastas freastalaí féin-sínithe, nó má tá sé imithe in éag. I gcúinsí den sórt sin, diúltaíonn cURL de réir réamhshocraithe an nasc chun an t -úsáideoir a chosaint ó rioscaí féideartha. Mar sin féin, d’fhéadfadh sé seo bac a chur ar an bpróiseas le linn tástála API, ag obair ar líonraí dúnta, nó ag úsáid seirbhísí áitiúla. Sin an fáth go gcaithfimid a fháil amach cad iad na cúinsí a dhéanann cURL neamhaird ar SSL agus conas é a chur i bhfeidhm.

Sonróidh an t -alt seo conas neamhaird a dhéanamh ar dheimhnithe SSL i cURL, na horduithe sonracha nach mór a fhorghníomhú, agus imní a bhaineann le slándáil.

Cad iad cURL agus SSL?

cURL (Client URL) is tionscadal bogearraí é a sholáthraíonn líne ordaithe agus leabharlann chun sonraí a aistriú ag úsáid prótacail éagsúla. Tá an uirlis seo an -úsáideach chun iarratais, tástáil API, nó aisghabháil faisnéise a uathoibriú ó acmhainní gréasáin éagsúla toisc go n -oibríonn sé le go leor cineálacha líonra.

SSL (Secure Sockets Layer) is cineál teicneolaíochta criptithe é a fhaigheann tarchur sonraí ar an Idirlíon. Is doiciméad é an teastas seo a chruthaíonn go bhfuil suíomh gréasáin áirithe barántúil agus a bhunaíonn nasc slán idir an t -úsáideoir agus an freastalaí. Mar thoradh ar dheimhnithe freastalaithe féin-sínithe, imithe, nó neamhbhailí, bíonn bloic ann agus iad ag feidhmiú cURL.

Chun na dúshláin sin a éalú, is fearr cur isteach ar SSL a dhíchumasú, mar sin, beidh ráta ratha níos airde ag iarratais cURL. Tá an modh tástála seo an-úsáideach, ach is féidir leis a bheith contúirteach ó thaobh slándála de.

cURL, curl, nó Curl: Cad é an difríocht?

Is é cURL an t -ainm oifigiúil ar an uirlis, is é an chéad litir den fhocal ná an chuid eile agus tá an chuid eile uachtarach. Sna doiciméid, ailt, agus cóid, gheobhaidh tú roinnt foirmeacha eile:

• curl (gach cás beag) - Is é seo an chaoi a mbíonn claonadh ag formhór na bhforbróirí é a scríobh i gcóid agus i línte ordaithe.
• Curl (Caipiteal C) - Uaireanta úsáidtear é seo i ndoiciméid neamhoifigiúla ach tá sé mícheart.

Beag beann ar an litriú, tá cURL i gcónaí ag cURL. Is uirlis tras-ardán agus líne ordaithe é chun sonraí a aistriú le comhréir URL. Baineann formhór na ndaoine i bhforbairt gréasáin, riarachán córais, agus devops úsáid as chun iarratais HTTP a dhéanamh, chun APIs a thástáil, agus chun idirghníomhaíochtaí uathoibrithe freastalaí a dhéanamh.

Cén fáth fíorú SSL a dhíchumasú?

De ghnáth, déanann an fóntais aistrithe sonraí deimhnithe atá le feiceáil ar scáileán an úsáideora a bhailíochtú chun suíomhanna agus ionsaithe bréige a chosc. Tá cásanna ann, áfach, nuair a dhéanann an cURL neamhaird ar sheiceáil teastais. Breathnaímid ar an uair a thagann na cásanna sin chun cinn:

• Deimhnithe féin-eisithe á n-úsáid le tástála nó le freastalaithe áitiúla. Agus tástáil á déanamh ar APIs nó ar iarratais, is minic a chruthaíonn forbróirí teastais féin-sínithe nach bhfuil formhuinithe ag údaráis deimhniúcháin oifigiúla (CA).
• Rochtain fostaithe ar sheirbhísí corparáideacha inmheánacha. De ghnáth bíonn teastais ag freastalaithe inmheánacha eagraíochta nach bhfuil muinín acu astu. Sa chás go bhfuil rochtain uathoibrithe ar na hacmhainní sin éigeantach, is réiteach sealadach is fearr é seiceáil deimhnithe a mhúchadh.
• Tá teastas freastalaí ag suíomhanna áirithe atá imithe in éag nó neamhbhailí. Má tá sé ríthábhachtach faisnéis a tharraingt ó acmhainn den sórt sin, is féidir bailíochtú a mhúchadh go sealadach gan an t -úsáideoir a bheith ag teacht leis an earráid deimhnithe ar leith. Sa chás seo ní thugann cURL neamhaird ar earráidí SSL agus oibríonn gach rud go breá.
• Cuidíonn seiceáil a dhéanamh ar dhíspreagadh teip i scripteanna a dteastaíonn uathoibriú uathoibrithe uathoibrithe. Nuair a sheolann script iarratais go comhsheasmhach chuig freastalaí a bhfuil teastas mícheart aige, ní mór seiceáil a dhéanamh faoi mhíchumas.

In ainneoin gur fachtóir ríthábhachtach é seiceáil, is féidir fadhbanna agus rioscaí a bheith ag baint leis an mbealach ar fad a chasadh air. Pléifimid na cinn seo chugainn.

Rioscaí slándála a bhaineann le SSL a dhíchumasú

Nuair a dhéanann cURL neamhaird ar dheimhnithe ciallaíonn sé gur féidir an nasc a shaothrú trí ionsaithe slándála éagsúla, agus tá sé seo thar a bheith tábhachtach nuair a bhíonn faisnéis íogair lena n -áirítear pasfhocail, comharthaí, nó fiú sonraí íocaíochta i gceist.

Príomhbhagairtí:

• Man In The Middle Attack (MITM) - teicníc ina ndéantar an fhaisnéis idir an t -úsáideoir agus an freastalaí a idircheapadh agus go n -athraítear nó go gcuirtear na sonraí in ionad. Is riosca níos mó é nuair nach bhfuil aon duine ann a fhíorú toisc go mbíonn sé ró -éasca ionsaithe mailíseacha a chur i bhfeidhm. Mar shampla, is féidir ceann bréige a chur in ionad leathanach logála isteach ionas gur féidir leis an ionsaitheoir dintiúir a bhaint go héasca.
• Ní féidir le cURL an deimhniú freastalaí a fhíorú, rud a dhéanann é a neamhbhailiú. Dá bhrí sin, níl aon bhealach ann chun a chinntiú gurb é an nód a theastaíonn an ceann atá ceangailte leis, agus ceadaíonn sé suíomhanna a chur in ionad suíomhanna trí ghníomhaithe a chur mar acmhainní iontaofa.
• Má bhíonn an fíorú faoi mhíchumas le linn na tástála agus go ndéantar an cód sin a iompar chuig an timpeallacht táirgthe, ansin is féidir go mbeidh méadú ar an seans go dtarlóidh ionsaithe sceitheadh ​​nó fiú brúnna fórsa a chuireann isteach ar fhaisnéis rúnda.

Má tá gá le cURL neamhshuim de earráidí SSL, ansin tá sé fíorthábhachtach féachaint ar dheimhnithe féin-sínithe:

• Fíorú seachbhóthar amháin i dtimpeallacht tástála, agus é a sheachaint i dtáirgeadh;
• Ná tarchuir faisnéis rúnda trí nasc neamhchriptithe;
• Cuir an deimhniú féin-sínithe le muinín de láimh;
• Monatóireacht a dhéanamh ar an gcód, gan earráidí cumraíochta a áireamh, chun a chinntiú go bhfanann fíorú sa chód táirgthe.

Sa chéad bhloc eile, déanfaimid anailís mhionsonraithe ar na próisis a dhéantar sa líne ordaithe chun fíorú deimhnithe a dhíchumasú.

Conas earráidí SSL a sheachbhóthar le cURL

D'fhonn cURL a dhéanamh ar SSL, ní mór duit paraiméadair shonracha a chur san áireamh a chuireann fíorú fíordheimhnithe ar fionraí. Mar a luadh roimhe seo, ní féidir cleachtais den sórt sin a úsáid ach amháin i dtimpeallacht atá urraithe i gceart.

Is é an modh is éifeachtaí chun earráid deimhnithe suímh neamhbhailí a mhaolú ná spoof fíoraithe sealadach a chumrú de láimh. Is féidir é seo a dhéanamh leis na paraiméadair seo a leanas:

• -k nó --insecure—le húsáid ag nascadh le suíomh ina bhfuil teastas an fhreastalaí neamhbhailí;
• --cacert—Chun an suíomh ina stóráiltear an comhad deimhnithe úsáideora a shainiú.

Seo conas is féidir leat sampla glaonna cURL a dhéanamh a dhéanann neamhaird ar fhíorú deimhniúcháin:

curl -k https://example.com

Ligfidh sé seo don ghlao cURL dul tríd fiú le teastas freastalaí atá imithe in éag.

Más mian leat sonraí a sheoladh (mar shampla in iarratas ar phost):

curl -k -X POST -H "Content-Type: application/x-www-form-urlencoded" -d "param=value" https://example.com/api

Le haghaidh slándála is fearr, roghnófá an t -eolaire go díreach ina bhfuil an comhad suite.

curl --cacert /path/to/cert.pem https://example.com

Fíorú SSL a dhíchumasú i do script

Má tá sé i gceist an t -iarratas a uathoibriú trí líne ordaithe agus níor cheart go mbeadh gá le láithreacht an úsáideora, ansin tá sé tairbheach seiceálacha deimhnithe a dhíchumasú i gcásanna den sórt sin.

Seo sampla i bash, conas a dhéanann cURL neamhaird ar SSL:

#!/bin/bash
URL="https://example.com"
DATA=$(curl -k $URL)
echo "Server response: $DATA"

Le Python, is féidir leat an modúl Iarrataí a úsáid le fíorú go bréagach:

import requests
url = "https://example.com"
response = requests.get(url, verify=False)
print(response.text)

Agus an t -ordú seo á reáchtáil aige, tabharfaidh Python rabhadh duit maidir le nasc neamhshábháilte. Ina theannta sin, beidh ort a chinntiú go scríobhann tú cód chun rabhaidh a dhíchumasú a thagann chun cinn sa chás go bhfuil teastas freastalaí neamhbhailí ag an suíomh:

import requests import urllib3 

urllib3.disable_warnings(urllib3.exceptions.InsecureRequestWarning) 

url = "https://example.com"
response = requests.get(url, verify=False)
print(response.text)

Agus anois le haghaidh PHP le cURL:

$ch = curl_init();
curl_setopt($ch, CURLOPT_URL, "https://example.com");
curl_setopt($ch, CURLOPT_SSL_VERIFYPEER, false);
curl_setopt($ch, CURLOPT_SSL_VERIFYHOST, 0);
curl_setopt($ch, CURLOPT_RETURNTRANSFER, 1);
$output = curl_exec($ch);
curl_close($ch);
echo $output;

Liostaíonn an tábla thíos na modhanna is coitianta chun neamhaird a dhéanamh ar sheiceáil SSL, a n -úsáid, agus a rioscaí féideartha.

Deireadh

Cruthaíonn teastais freastalaí mífheidhmiúil níos mó saincheisteanna ná díreach nuair a oibrítear iad le cURL. Cinntíonn teastais sábháilteacht d'úsáideoirí le linn aistriú sonraí. Dá bhrí sin, is é an fíorú míchumais an rogha dheireanach nuair a fhaigheann duine earráid ag dífhabhtaithe. Bunaithe ar chúis na hearráide, tá cur chuige eile nach bhfuil chomh tromchúiseach sin, amhail nuashonrú doiciméad, an réigiún iontaofa a chur leis, nó díreach é a mhalartú leis an gceann ceart.

Gan seiceáil SSL, bheadh ​​an nasc míshláintiúil agus mí -úsáid go héasca ag úsáideoirí eile. Níl an cur chuige seo inghlactha ach amháin faoi thimpeallachtaí rialaithe, mar shampla nuair a bhíonn tástáil á déanamh ag duine, nó nuair a bhíonn an tseirbhís seachtrach. Faoi ghnáthchúinsí nuair a chuirtear teastas freastalaí neamhbhailí i láthair, tá sé ríthábhachtach nach bhfuil an clásal seo leagtha síos sa chód oibre de réir mar a chuirfí masking sonraí agus poill slándála eile i láthair.