Có lý do hợp lệ nào để bỏ qua các chứng chỉ SSL không hợp lệ/không hợp lệ (khi xử lý xử lý thanh toán) không?

Question

Vì vậy, tôi nhận được dll này từ UnionPay cho một dự án ecom với Trung Quốc và được yêu cầu xem xét. Sau khi ném này vào ILSpy, tôi không thể không chú ý tới các phương pháp sau đây:

private static bool RemoteCertificateCallback(object sender, X509Certificate certificate, X509Chain chain, SslPolicyErrors sslPolicyErrors) 
{ 
    return true; 
} 

Bây giờ, như tôi hiểu nó, mục đích của một callback như vậy là để cho phép các chứng chỉ SSL hợp lệ hoặc null - Tôi đã tự thêm hỗ trợ tương tự cho bản thử nghiệm đơn vị.

(loại này điều khiến tôi rất nghi ngờ về CHR sự can thiệp của chính phủ cho phép man-in-the-middle giám sát có chủ đích của các giao dịch.)

Có bất kỳ lý do chính đáng cho một bộ xử lý thanh toán để hỗ trợ null/không hợp lệ certs?

Answer 1

Có lý do chính đáng nào để xử lý thanh toán hỗ trợ chứng chỉ không hợp lệ/không hợp lệ không?

Không có gì. Bạn đang giữ một chuyển đổi bí mật trong một căn phòng tối với ... bất cứ ai. Bạn cũng có thể sử dụng bản rõ. Xem nhận xét về SSL không được xác thực trong RFC 2246. Tôi đồng ý với @SLaks hoàn toàn.