Stavo passando per il programma client-server openssl dato qui --- > link . Posso vedere sia il client che il server ottenere i certificati dal peer. Ma mi stavo chiedendo se devo chiamare una API separata per verificare i certificati? Nel link precedente, sia il client che il server ricevono i certificati e li stampano e iniziano lo scambio di dati. Dove si trova esattamente la verifica del certificato qui?
Grazie
Il codice di esempio a cui ti colleghi non esegue alcun tipo di verifica.
Non riesce a verificare la catena di certificati perché non utilizza SSL_CTX_set_verify per abilitare la verifica ( e il valore predefinito è disattivato). In questo modo accetta qualsiasi certificato.
Inoltre, non riesce a verificare il nome host rispetto al certificato . Anche se venisse eseguita la convalida della catena, ciò significherebbe che l'utente malintenzionato potrebbe utilizzare qualsiasi certificato con una catena valida (che sia facile da ottenere) per l'utente nelle connessioni centrali SSL a qualsiasi host.
Leggi altre domande sui tag authentication openssl certificate-authority