Custom certificate validation (ARCH307)

Anahtar dotnet.security.custom-certificate-validation · Önem error · Kategori security · CWE CWE-295

true döndüren bir callback ile sertifika doğrulamasını geçersiz kılmak tüm TLS sertifikalarını kabul eder ve ortadaki adam saldırılarına olanak tanır.

Hatalı

var handler = new HttpClientHandler
{
    ServerCertificateCustomValidationCallback =
        (msg, cert, chain, errors) => true
};

Doğru

var handler = new HttpClientHandler();
// Default validation is used; trust the system certificate store.

Düzeltme

Özel doğrulama callback’lerini kaldırın ve platformun varsayılan zincir doğrulamasına güvenin; gerçekten gerekiyorsa sabitleme (pinning) için zincir/hata durumunu doğrulayın.