ፕሮክሲ ሲጠቀሙ የሚከሰቱ የሰርተፊኬት ስህተቶች
የሰርተፊኬት ቅንብሮችን ከመቀየር በፊት፣ ማረጋገጫው የከሸፈው ከፕሮክሲው ራሱ ወይስ ከመድረሻው ድረ ገጽ ጋር ባለው TLS ግንኙነት መሆኑን ይለዩ።
የCA ጥቅል ከመቀየር በፊት የትኛው TLS handshake እንደከሸፈ ያግኙ። የፕሮክሲ ሰርተፊኬትና የድረ ገጽ ሰርተፊኬት በተለያዩ ግንኙነቶች ላይ ሊመረመሩ ይችላሉ።
| ፕሮክሲና መድረሻ | የTLS ማረጋገጫዎች |
|---|---|
| ወደ HTTPS መድረሻ የሚያገናኝ HTTP ፕሮክሲ | ከCONNECT በኋላ በቱነሉ በኩል የመድረሻውን ሰርተፊኬት ያረጋግጡ። |
| ወደ HTTPS መድረሻ የሚያገናኝ HTTPS ፕሮክሲ | መጀመሪያ ወደ ፕሮክሲው ያለውን TLS ያረጋግጡ፤ ቱነሉ ከተከፈተ በኋላ ወደ መድረሻው ያለውን የተለየ TLS ክፍለ ጊዜ ያረጋግጡ። |
የተጠየቀውን የአስተናጋጅ ስምና የመጨረሻውን የተጠናቀቀ handshake ለማግኘት ዝርዝር የክትትል ውጤቱን ይጠቀሙ። የHTTPS ፕሮክሲ ሰርተፊኬት ስህተት ከድረ ገጹ ጋር ከመገናኘት በፊት ሊከሰት ይችላል። የግንኙነቱን የታሰበ ስም፣ የሰርተፊኬቱን የአገልግሎት ጊዜ፣ የአካባቢውን ሰዓት፣ የሚጠበቀውን የሰርተፊኬት ሰንሰለትና የተፈቀደውን የእምነት ማከማቻ ይመልከቱ። ሆን ብለው ያዋቀሩትን TLS interception ወይም ያከሉትን ሥር ሰርተፊኬትም በምርመራው ያካትቱ።
curl ለሁለቱ ግንኙነቶች የተለያዩ የCA አማራጮችን ይሰጣል፦
curl --proxy https://proxy.example:8443 --proxy-cacert proxy-ca.pem --cacert site-ca.pem https://example.com/--proxy-cacert ለፕሮክሲው የእምነት መሠረት ይሰጣል፤ --cacert ደግሞ ለመድረሻው። የምሳሌውን መገናኛ ነጥብና ፋይሎች በታሰበው የእምነት አደረጃጀት እሴቶች ይተኩ። የስርዓቱ እምነት በቂ ከሆነ ብጁ ጥቅሎች አያስፈልጉም።
የአስተናጋጅ ስምን በዘፈቀደ IP መተካት የሰርተፊኬት ማዛመድን ይለውጣል። ማረጋገጫን መዝለል የሌላውን ወገን ማንነት ሳያረጋግጥ ስህተቱን ሊደብቅ ይችላል። ለማያውቁት ፕሮክሲ፣ የራሱን ሥር CA እንዲጭኑ መጠየቁ እሱን ለማመን በቂ ምክንያት አይደለም።
የፖርት ግንኙነት መከልከል ወይም CONNECT መከልከል ከዚህ ቀደም ባለ ደረጃ ያለ ጉዳይ ነው፤ ሰርተፊኬቶችን መቀየር አያስተካክለውም። በተቃራኒው፣ የመድረሻው TLS ከተረጋገጠ በኋላ የድረ ገጹ HTTP ስህተት ከደረሰው ምላሽ ጋር የተያያዘ ነው እንጂ ሌላ የCA ለውጥ አይደለም።