Czy curl ma opcję --no-check-certificate, taką jak wget?

446

Usiłuję złożyć wniosek o zwinięcie do jednego z naszych lokalnych serwerów programistycznych obsługujących witrynę programistyczną z samopodpisanym certyfikatem SSL. Używam curl z wiersza poleceń.

Widziałem kilka postów na blogu, w których wspomniano, że można dodać do listy certyfikatów lub określić konkretny (samopodpisany) certyfikat jako ważny, ale czy istnieje ogólny sposób na powiedzenie „nie weryfikuj” certyfikatu ssl - podobnie jak --no-check-certificateten Wget ma?

wget curl cwd
źródło

--insecurenie będzie działać, jeśli masz pewne wersje php lub apache, jak wyszczególniono w superuser.com/questions/1015325/…

user3338098,

Odpowiedzi:

594

Tak. Z strony podręcznika :

-k, - niezabezpieczone

(TLS) Domyślnie każde zawinięcie połączenia SSL jest sprawdzane pod kątem bezpieczeństwa. Ta opcja umożliwia kontynuowanie i działanie curl nawet w przypadku połączeń z serwerami, które w innym przypadku są uważane za niebezpieczne.

Połączenie z serwerem jest weryfikowane przez upewnienie się, że certyfikat serwera zawiera prawidłową nazwę i pomyślnie weryfikuje przy użyciu magazynu certyfikatów.

Zobacz ten zasób online, aby uzyskać więcej informacji: https://curl.haxx.se/docs/sslcerts.html

Zobacz także --proxy-niepewne i --cacert.

Odniesienia wymienionych w tej pozycji dokument opisuje niektóre z określonych zachowań -k.

Zachowania te można zaobserwować w przypadku curlpróśb o przetestowanie stron z BadSSL.com

curl -X GET https://wrong.host.badssl.com/
curl: (51) SSL: no alternative certificate subject name matches target host name 'wrong.host.badssl.com'

curl -k -X GET https://wrong.host.badssl.com/
..returns HTML content...

Freiheit
źródło

Uwielbiam fakt, że ma krótką literę

kizzx2

Czy jest jakiś sposób w konfiguracji curl, aby ustawić tę opcję jako domyślną?

Wygrywa

@Wins, to byłby okropny pomysł. Popraw alias, jeśli chcesz go używać wielokrotnie, abyś wiedział, co robi, i nie wysyłaj przypadkowo haseł bez szyfrowania. alias insecure-curl="curl -k"

Alexander Huszagh,

@AlexanderHuszagh W pracy używam curl tylko z jednego serwera z certyfikatem z podpisem własnym; nigdy nie chcę przeprowadzać pełnego sprawdzania certyfikatu. To, że w większości przypadków coś wydaje się okropnym pomysłem, nie oznacza, że zawsze tak jest.

Daniel H

@DanielH Właśnie dlatego zasugerowałem alias: dzięki czemu zyskujesz dodatkową wygodę z wyraźną świadomością, że jest niepewny. Przepływy pracy się zmieniają: powinieneś jednak wiedzieć w pewien ograniczony sposób, kiedy handlujesz zabezpieczeniami dla wygody.

Alexander Huszagh

Możesz zastosować następujące polecenie, aby zastosować zmiany dla wszystkich połączeń:

$ echo insecure >> ~/.curlrc

W systemie Windows po prostu utworzyć _curlrcplik tekstowy z „niepewnego” tekst w niej w Twoim %HOME%, %CURL_HOME%, %APPDATA%, %USERPROFILE%lub %USERPROFILE%\Application Datakatalogu.

Zaletą zastosowania powyższego rozwiązania jest to, że działa ono dla wszystkich curlpoleceń, ale nie jest zalecane, ponieważ może wprowadzać ataki MITM , łącząc się z niepewnymi i niezaufanymi hostami.

kenorb
źródło

To wydaje się złą radą: wyłączenie tych kontroli dla wszystkich połączeń nie powinno być domyślnym, nawet jeśli zrobisz to sam przez konfigurację dla poszczególnych użytkowników. Jeśli chcesz znieść kontrole bezpieczeństwa, przynajmniej zrób to fragmentarycznie.

Christopher Schultz

Za każdym razem, gdy używam curl, albo kontroluję maszynę na drugim końcu albo ufam jej.

Eric Hartford,

@EricHartford: Cóż, dobrze dla ciebie, ale to nie czyni z tego dobrej ogólnej porady imho. Można użyć curl, na przykład podczas pobierania homebrew na osx i skończyć ze zmodyfikowaną wersją narzędzi, ponieważ włączono to jako domyślnie ślepo.

ereOn

Również @EricHartford, czy jesteś pewien, że zawsze robisz zaufane curl? Czy kiedykolwiek uruchomiłeś jakiś skrypt instalacyjny bash, który masz poza Internetem? To prawda, że i tak możesz być w czerni, ale to zwiększa szanse.

Zlatko

to jest prawdziwy @EricHartford. Poprzednia wiadomość została opublikowana przez kogoś, kto podszywa się pode mnie. Ponieważ ufałem wszystkim maszynom ;-)

Anand Rockzz

Używasz certyfikatu z podpisem własnym. Dlaczego nie dołączyłeś urzędu certyfikacji do zaufanego pakietu urzędu certyfikacji (Linux) ani nie dodałeś go do zaufanego magazynu certyfikatów (Windows)? Lub po prostu użyj --cacert /Path/to/filez zawartością zaufanego samopodpisanego pliku certyfikatu.

Inne odpowiedzi odpowiadają na pytanie w oparciu o wgetporównywalne. Jednak prawdziwe pytanie brzmi: w jaki sposób utrzymywać zaufane połączenie za pomocą certyfikatu z podpisem własnym curl. Opierając się na wielu komentarzach, bezpieczeństwo jest najważniejszą kwestią w każdej z tych odpowiedzi, a najlepszą odpowiedzią byłoby zaufanie samopodpisanemu certyfikatowi i pozostawienie curlkontroli bezpieczeństwa nienaruszonych.

użytkownik3258557
źródło