質問: PayPal NVP(名前-値ペア)API のドキュメントの中に以下のような文言があります。 > > cURL を使用した信用証明書の指定 > > 以下の例は、cURL を使用して署名を指定する 1 つの方法を示しています。 > > > > ``` > curl --insecure https://api-3t.sandbox.paypal.com/nvp -d ^ > "METHOD=name^ &VERSION=XX.0^ &USER=API_username^ &PWD=API_password^ &SIGN > ATURE=API_signature^ &..." > ``` > > > > **注: この例ではセキュアな接続は確立されないため、paypal.com の実稼働環境での使用は控えてください。** > > > この**実稼働環境での使用は控えて下さい。**というコメントの意味がよくわかりません。 どのような問題点があるのでしょうか? ご教示いただけると幸いです。
回答: `--insecure`オプションをつけると,「通信は暗号化されるけど**相手が本物かどうかは証明されない**」ということになります. * 悪意のあるものが設置したWi-Fiアクセスポイントに誤って接続してしまった (アクセスポイント自体の暗号化の有無は無関係) * DNSサーバが攻撃されてキャッシュが汚染され,IPアドレスの対応付けが悪意のあるサイトのほうに向いてしまった(インターネット10分講座:DNSキャッシュポイズニング) こういった場合に**中間者攻撃**が成立する恐れがあります. * Wikipedia - 中間者攻撃