TLS Doğrulaması Devre Dışı (ARCH6119)

Anahtar ruby.security.disabled-tls-validation · Önem error · Kategori security · CWE CWE-295

Sertifika veya ana bilgisayar doğrulamasını atlamak TLS kimlik doğrulamasını çökertir ve ortadaki adam saldırılarına olanak tanır. Doğrulamayı her zaman etkin bırakın.

Hatalı

require "net/http"

http = Net::HTTP.new(uri.host, uri.port)
http.use_ssl = true
http.verify_mode = OpenSSL::SSL::VERIFY_NONE
res = http.get(uri.path)

Doğru

require "net/http"

http = Net::HTTP.new(uri.host, uri.port)
http.use_ssl = true
http.verify_mode = OpenSSL::SSL::VERIFY_PEER
res = http.get(uri.path)

Düzeltme

VERIFY_NONE yerine VERIFY_PEER kullanın ve sertifika doğrulamasını asla kapatmayın.