Java(Java8)如何修复WhiteHat“证书验证不当”(CWE-295)安全漏洞

Question

null

// http://www.nakov.com/blog/2009/07/16/disable-certificate-validation-in-java-ssl-connections/
public class JavaCertificationUtils {

    private static final SanitizedLogger LOG = new SanitizedLogger(JavaCertificationUtils.class);

    public static void javaTrustAllCerts() {
        try {
            // Create a trust manager that does not validate certificate chains
            TrustManager[] trustAllCerts = new TrustManager[]{new X509TrustManager() {
                public java.security.cert.X509Certificate[] getAcceptedIssuers() {
                    return null;
                }

                public void checkClientTrusted(X509Certificate[] certs, String authType) {
                }

                public void checkServerTrusted(X509Certificate[] certs, String authType) {
                }
            }};

            // Install the all-trusting trust manager
            SSLContext sc = SSLContext.getInstance("SSL");
            sc.init(null, trustAllCerts, new java.security.SecureRandom());
            HttpsURLConnection.setDefaultSSLSocketFactory(sc.getSocketFactory());

            // Create all-trusting host name verifier
            HostnameVerifier allHostsValid = new HostnameVerifier() {
                public boolean verify(String hostname, SSLSession session) {
                    return true;
                }
            };

            // Install the all-trusting host verifier
            HttpsURLConnection.setDefaultHostnameVerifier(allHostsValid);
        } catch (Exception e) {
            LOG.error("Java Certificate All Certs Exception.", e);
        }
    }
}

Answer 1

您显示的代码有两个功能：

1. 它禁用TLS证书链验证（使用TrustAllCerts)。
2. 并禁用主机名验证（使用AllHostsValid)。

怎么解决这个？首先-删除代码。全部都是。造成损害的确切线路是：

sc.init(null, trustAllCerts, new java.security.SecureRandom());
HttpsURLConnection.setDefaultHostnameVerifier(allHostsValid);

您可能会注意到（90%的概率），代码将停止工作。这可能是由于不同的原因。

1. 您正在尝试连接到使用自签名证书的服务（可能是某人首先进行这样的黑客攻击的原因）。服务需要修复此问题。
2. 信任存储区中没有验证信任链所需的所有证书。在这种情况下，您需要扩展信任存储并添加必要的根CA证书。
3. 通过SSH隧道连接到TLS安全服务。一旦将正确的域名转换为本地主机，TLS主机名验证将失败。
4. 其他部分将失败。

那就让我们知道错误是什么。