お世話になります。
サーバーが外部より侵入・攻撃を受ける可能性についてお伺いしたいのですが、
以下コマンドを実行し、SSL証明をOFFにしたままにした場合、
どういったリスクがあるか、ご教授いただけないでしょうか。
よろしくお願い致します。
git config --global http.sslVerify false
サーバー上でgitをクライアントとしてどのように使用しているかどうかです。状況が詳しくわからないとなんとも言えません。
これから全くの仮定の話をします。たとえば、対象のサーバーおよびその環境が次のような状況だとします。
このような状況の場合、対象サーバーの管理者が、証明書エラーを回避するために、gitでのhttp.sslVerify
設定をfalse
にしてしまったとしましょう。
さて、もし、攻撃者がこれらの仕組みの概要を知ってい(例えば、サーバーの詳細設計書が漏洩したとかで)、DNSキャッシュポイズニング攻撃等で名前を別のIPに向けることができれば、次のよう攻撃が成功する可能性があります。
DNSキャッシュポイズニング攻撃等が成功しなければならないというハードルはありますが、とりあえず、なんとか偽のGitLabサーバーに向かわせることができれば、多大な損害を与えることができます。もし、GitLabサーバーに正式な証明書を入れているなど、証明書検証を無効にしなくても通信できるようにしていれば、このような攻撃も防ぐことができたでしょう。
このように、クライアントとして使用するアプリケーションであるからと言っても、サーバー上で動作させるアプリケーションである限りは、運用上の利用目的などを鑑みて注意深く検証する必要があります。セキュリティの設定を緩める場合は、それによって成立する可能性があるあらゆる攻撃を想定して検証し、設定の可否の判断すべきです。
git
の設定はサーバー上で実行していて、そのサーバーのセキュリティーを心配している、ということですか? それとも、この設定でgit
の操作をした場合にアクセス先のgit
サーバーのセキュリティーが損なわれるのが心配ということでしょうか?