Insecure TLS certificate validation (accept self-signed certificate)

安全でないTLS証明書の検証 (自己署名証明書の許可)

Risk: high

説明

アプリケーションが自己署名証明書を受け入れているため、中間者（MITM）攻撃に対して脆弱です。

推奨事項

デフォルトでは、SSL証明書は検証されます。アプリケーションでそうでない場合は、以下の対応を検討してください。

1. SSLクラスの変更の回避: TrustManagerまたはSSLSocketFactoryをオーバーライドして、無効な証明書を許可することは避けてください。
2. 証明書のピン留め (Certificate Pinning): アプリケーションが信頼されたソースからの証明書のみを受け入れるように、証明書のピン留めを実装します。信頼できる証明書をアプリケーション内にハードコーディングするか保存することで、SSL/TLSハンドシェイクプロセス中にサーバーの証明書の信頼性を検証でき、自己署名証明書を使用したMITM攻撃を防ぐことができます。

リンク

• Improper Certificate Validation - CWE

標準

• PCI_STANDARDS:
  • REQ_2_2
  • REQ_4_2
  • REQ_11_3
• SOC2_CONTROLS:
  • CC_2_1
  • CC_4_1
  • CC_7_1
  • CC_7_2
  • CC_7_4
  • CC_7_5
• HIPAA_CONTROLS:
  • SECURITY252
  • SECURITY212
  • SECURITY213