7. MISUNDERSTANDING THE SSL API7.1

7. MISUNDERSTANDING THE SSL API
7.1 Amazon Flexible Payments Service (PHP)
Amazon Flexible Payments Service (FPS) provides SDKs that
merchants use to transmit customers’ payment details to the FPS
gateway. The PHP version of the FPS SDK uses a wrapper around
the libcurl library (see Section 4.2) to establish an SSL connection
to the gateway. 55555555555555555555555555555555555555

cURL’s options for certificate validation are set in
srcAmazonFOPSClient.php as follows:
curl_setopt($curlHandle, CURLOPT_SSL_VERIFYPEER, true);
curl_setopt($curlHandle, CURLOPT_SSL_VERIFYHOST, true);
...
/ / E x e c ut e t h e r e q u e s t
$response = curl_exec($curlHandle);


5555555555555555555555555555555555


This well-intentioned code contains a fatal mistake. cURL’s default value of CURLOPT_SSL_VERIFYHOST is correctly set to 2. In the
curl_setopt($curlHandle,CURLOPT_SSL_VERIFYHOST, true) call,
true silently turns into 1, overriding the default and instructing
cURL to check the existence of any common name in the certificate
(Section 4.2), which may or may not match the name requested.
Any PHP code using this Amazon-provided SDK to establish an
SSL connection to the Amazon Flexible Payments Service gateway
is insecure against a man-in-the-middle attack

ผลลัพธ์ (ไทย) 1:

7. MISUNDERSTANDING SSL API7.1 บริการชำระเงินที่ยืดหยุ่น Amazon (PHP)อเมซอนยืดหยุ่นชำระเงินบริการ (FPS) ให้ SDKs ที่ร้านค้าที่ใช้ในการส่งรายละเอียดการชำระเงินของลูกค้ากับ FPSเกตเวย์ รุ่น PHP FPS SDK ใช้กระดาษห่อรอบรี libcurl (ดูส่วนที่ 4.2) เพื่อสร้างการเชื่อมต่อ SSLการเกตเวย์ 55555555555555555555555555555555555555ตั้งอยู่ในขดของตัวเลือกสำหรับการตรวจสอบ certificatesrcAmazonFOPSClient.php เป็นดังนี้:curl_setopt ($curlHandle, CURLOPT_SSL_VERIFYPEER, true);curl_setopt ($curlHandle, CURLOPT_SSL_VERIFYHOST, true);.../ / E x e c ut e t h e r e q u e s t$response = curl_exec($curlHandle)5555555555555555555555555555555555รหัสนี้เจตนาประกอบด้วยความผิดพลาดร้ายแรง อย่างถูกต้องมีตั้งค่าเริ่มต้นของขด CURLOPT_SSL_VERIFYHOST 2 ในโทร curl_setopt ($curlHandle, CURLOPT_SSL_VERIFYHOST จริง)จริงอยู่เบื้องหลังจะเป็น 1 แทนค่าเริ่มต้น และสอนม้วนกระดาษเพื่อตรวจสอบการมีอยู่ของชื่อทั่วไปในการ certificate(ส่วน 4.2), ซึ่งอาจ หรืออาจไม่ตรงกับชื่อที่ร้องขอรหัส PHP ใด ๆ ใช้ SDK นี้ Amazon มีการสร้างการSSL เชื่อมต่อเกตเวย์ Amazon บริการชำระเงินมีความยืดหยุ่นจะไม่ปลอดภัยจากการโจมตีคนในกลาง

ผลลัพธ์ (ไทย) 3:

7 . เข้าใจผิด SSL API
7.1 Amazon มีความยืดหยุ่นการชำระเงินบริการ ( PHP )
Amazon มีความยืดหยุ่นการชำระเงินบริการ ( FPS ) มี SDK ที่
พ่อค้าใช้ส่งรายละเอียดการจ่ายเงินของลูกค้าไปยัง FPS
เกตเวย์ รุ่นของ PHP FPS SDK ที่ใช้ห่อรอบ
libcurl ห้องสมุด ( ดูมาตรา 4.2 ) เพื่อสร้างการเชื่อมต่อ SSL
ไปยังเกตเวย์ 55555555555555555555555555555555555555

ตัวเลือกสำหรับการม้วน certi เคทจึงตั้งอยู่ใน src
Amazon ของคุณตำรวจ client.php ดังนี้
curl_setopt ( $ curlhandle curlopt_ssl_verifypeer , true ) ;
curl_setopt ( $ curlhandle curlopt_ssl_verifyhost , true ) ;
. .
/ / E X E C UT E T H E R E q u e s T
$ curl_exec ตอบสนอง = ( $ curlhandle ) ;





5555555555555555555555555555555555 นี้อาจมีรหัสที่มีความผิดร้ายแรง .ขดเป็นค่าเริ่มต้นของ curlopt_ssl_verifyhost ได้อย่างถูกต้อง ชุด 2 ใน
curl_setopt ( $ curlhandle curlopt_ssl_verifyhost , True ) โทร
จริงอย่างเงียบๆ กลายเป็น 1 , แทนการเริ่มต้นและสั่ง
ม้วนตรวจสอบการดำรงอยู่ของชื่อสามัญใน certi จึงเคท
( มาตรา 4 ) ซึ่งอาจจะหรืออาจจะไม่ตรงกับชื่อที่ร้องขอ
โค้ด PHP ใช้ Amazon นี้ใด ๆ ให้ SDK เพื่อจัดตั้ง
SSL การเชื่อมต่อกับ Amazon บริการเกตเวย์การชำระเงินที่มีความยืดหยุ่น
จะไม่ปลอดภัยกับผู้ชายในการโจมตีกลาง