CS.X509.VALIDATION

証明書検証が無効になる

証明書はサーバーの ID を認証するのに役立ちます。クライアントは、サーバー証明書を検証して、要求が目的のサーバーに送信されることを確認する必要があります。CS.X509.VALIDATION チェッカーは、ServicePointManager.ServerCertificateValidationCallback プロパティが true の値を常に返すコードインスタンスにフラグを立てます。その場合、無効な証明書または悪意のある証明書でも検証に合格することになります。

脆弱性とリスク

証明書が無効であるか悪質がある場合、攻撃者はホストとクライアントの間の通信パスに干渉することで、信頼できるエンティティになりすますことができます。ソフトウェアは、信頼できるホストであると信用しながら悪意のあるホストに接続する可能性や、信頼できるホストが発信元のように見える、なりすまされたデータを受理するように欺かれる可能性があります。

脆弱コード例

コピー 
  using System.Net;
  using System.Net.Security;
   using System.Security.Cryptography.X509Certificates;
    
  class ExampleClass
  {
      public void ExampleMethod()
      {
          ServicePointManager.ServerCertificateValidationCallback += SelfSignedForLocalhost;
     }
  
     private static bool SelfSignedForLocalhost(object sender, X509Certificate certificate, X509Chain chain, SslPolicyErrors sslPolicyErrors)
     {
         return true; // Any certificate will pass validation
     }
 }

修正コード例

コピー 
  using System.Net;
  using System.Net.Security;
  using System.Security.Cryptography.X509Certificates;
   
  class ExampleClass
  {
      public void ExampleMethod()
      {
          ServicePointManager.ServerCertificateValidationCallback += SelfSignedForLocalhost;
     }
  
     private static bool SelfSignedForLocalhost(object sender, X509Certificate certificate, X509Chain chain, SslPolicyErrors sslPolicyErrors)
     {
         if (sslPolicyErrors == SslPolicyErrors.None)
         {
             return true;
         }
  
         // For HTTPS requests to this specific host, we expect this specific certificate.
         // In practice, you'd want this to be configurable and allow for multiple certificates per host, to enable
         // seamless certificate rotations.
         return sender is HttpWebRequest httpWebRequest
                 && httpWebRequest.RequestUri.Host == "localhost"
                 && certificate is X509Certificate2 x509Certificate2
                 && x509Certificate2.Thumbprint == "AAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAA"
                 && sslPolicyErrors == SslPolicyErrors.RemoteCertificateChainErrors;
     }
 }

セキュリティトレーニング

Secure Code Warrior が提供しているアプリケーションセキュリティトレーニング教材。