TLS 인증서 검증 비활성화

// 비준수 예시 1: 전역 인증서 검증 비활성화
const https = require('https');
const tls = require('tls');

function fetchInsecure() {
  // 전역으로 TLS 검증을 비활성화 -> 매우 위험
  process.env.NODE_TLS_REJECT_UNAUTHORIZED = '0';

  https.get({ hostname: 'api.example.org', path: '/v1/data' }, (res) => {
    res.on('data', () => {});
  });
}

// 비준수 예시 2: 에이전트에서 인증서 검증 비활성화
function postInsecure() {
  const insecureAgent = new https.Agent({ keepAlive: true, rejectUnauthorized: false });

  const req = https.request({
    hostname: 'secure.example.org',
    method: 'POST',
    path: '/login',
    agent: insecureAgent,
    headers: { 'Content-Type': 'application/json' }
  }, (res) => res.resume());

  req.write(JSON.stringify({ user: 'alice', pass: 'secret' }));
  req.end();
}

// 준수 예시: 기본 검증 유지 + 신뢰 가능한 CA 번들 사용
const https = require('https');
const fs = require('fs');

// 사내 또는 공인 CA 번들 경로(예시)
const caBundle = fs.readFileSync('/etc/ssl/certs/company-ca-bundle.pem');

function fetchSecure() {
  // rejectUnauthorized 기본값은 true
  const secureAgent = new https.Agent({
    keepAlive: true,
    ca: caBundle,           // 신뢰 가능한 CA 제공
    // servername은 요청 host에서 자동 설정되므로 따로 끄지 않음
  });

  https.get({
    hostname: 'api.example.org',
    path: '/v1/data',
    agent: secureAgent
  }, (res) => {
    let body = '';
    res.on('data', (c) => body += c);
    res.on('end', () => console.log('OK:', body.length));
  });
}

// 추가: 필요 시 인증서 핀닝(인증서 SHA-256 지문 비교) 예시
const tls = require('tls');
function connectWithPinning(expectedFingerprint256) {
  const socket = tls.connect({ host: 'secure.example.org', port: 443, ca: caBundle }, () => {
    const cert = socket.getPeerCertificate(true);
    if (!cert || !cert.fingerprint256 || cert.fingerprint256 !== expectedFingerprint256) {
      socket.destroy(new Error('Certificate pinning mismatch'));
      return;
    }
    socket.write('GET / HTTP/1.1\r\nHost: secure.example.org\r\n\r\n');
  });
}