<div dir="ltr"><div><div>Seems that it's a matter of using SSL_CTX_set_verify on the tls context, with SSL_VERIFY_PEER.<br></div>See <a href="https://wiki.openssl.org/index.php/Manual:SSL_CTX_set_verify(3)">https://wiki.openssl.org/index.php/Manual:SSL_CTX_set_verify(3)</a><br><br></div>-- vyzo<br></div><div class="gmail_extra"><br><div class="gmail_quote">On Wed, Nov 15, 2017 at 2:33 PM, Marc Feeley <span dir="ltr"><<a href="mailto:feeley@iro.umontreal.ca" target="_blank">feeley@iro.umontreal.ca</a>></span> wrote:<br><blockquote class="gmail_quote" style="margin:0 0 0 .8ex;border-left:1px #ccc solid;padding-left:1ex">Clearly something has to be done! I didn’t write that code, so perhaps someone with more experience with OpenSSL should take a look at it.<br>
<span class="HOEnZb"><font color="#888888"><br>
Marc<br>
</font></span><div class="HOEnZb"><div class="h5"><br>
<br>
<br>
> On Nov 15, 2017, at 4:17 AM, Dimitris Vyzovitis <<a href="mailto:vyzo@hackzen.org">vyzo@hackzen.org</a>> wrote:<br>
><br>
> Marc,<br>
><br>
> It seems that the TLS stack is completely lacking client-side server<br>
> certificate validation. There are now two open issues on github (#200<br>
> and #312 which I just opened).<br>
><br>
> This is a real security problem, as not having certificate validation<br>
> defeats the whole purpose of TLS.<br>
><br>
> Can we do something about it?<br>
><br>
> -- vyzo<br>
><br>
<br>
</div></div></blockquote></div><br></div>