Какова безопасная комбинация конфигурации php.ini и кода PHP для проверки SSL/TLS на Ubuntu 14.04?
Я использую PHP 7.0 от ppa:ondrej/php на Ubuntu 14.04. Я взаимодействую с API и хотел бы удостовериться, что мой код PHP/CURL взаимодействует с правильным сервером и надежно (без любого риска отслеживания, MITM, вмешательства, и т.д.).
Я провел немного исследования и не вижу полного набора совета относительно этой темы.
Вот несколько вещей, которые я заметил о конфигурациях по умолчанию:
openssl.cafile и openssl.capath значения пусты.
Я верю этому CURLOPT_SSL_VERIFYPEER значения по умолчанию к TRUE и что пакет сертификата по умолчанию обеспечивается ЗАВИХРЕНИЕМ (14.04 имеет ЗАВИХРЕНИЕ 7.35 и это верно с тех пор 7.10).
Кажется, что многими примерами "плохого" ssl являются вещи, что браузеры и мир безопасности в целом полагают, что конфигурация небезопасного, но PHP/CURL по умолчанию принимает.
Используя badssl.com и сценарий я записал, что начал тестировать, какие плохие конфигурации SSL инициируют ошибки, и я удивлен, сколько из них не инициировало ошибки.
Несколько возможных решений:
- Проследите вниз параметры конфигурации сделать php/curl более строгий в том, что это принимает. Это не могло бы быть абсолютно возможно.
- Добавьте, что больше кода в PHP для осмотра сертификатов более тесно (плохо себя чувствует)
- Возможно, все в порядке, что PHP/CURL не определяют все их как недопустимые
Я ищу ответы на любой из этих точек :)