La convalida dei certificati TLS è il processo che verifica che il certificato di un server sia attendibile e corrisponda al nome del server che il client intende raggiungere. In genere, i client verificano la catena di certificati rispetto alle autorità di certificazione attendibili, controllano le date di validità e confermano il nome host. La sola cifratura non dimostra chi si trovi all’altro capo della connessione; la convalida aiuta a impedire che un aggressore si spacci per un server.
Negli attacchi, un certificato compromesso o emesso per errore, controlli errati del nome host o la convalida disabilitata possono consentire l’intercettazione delle connessioni tramite attacchi man-in-the-middle. I difensori dovrebbero mantenere aggiornati gli archivi di certificati attendibili e gli ambienti di runtime, non disattivare i controlli dei certificati e del nome host e indagare sugli errori di convalida invece di aggirarli. In Node.js, difetti nei controlli dei certificati TLS o del nome host possono indebolire il confine di fiducia per le connessioni in uscita, perciò è importante applicare versioni corrette dell’ambiente di runtime.