Acaba d'analitzar les capçaleres CONNECT abans de retransmetre el flux del client

Un servidor proxy que retransmet només després de la línia de sol·licitud pot enviar la seva capçalera Host al port TLS del destí.

Després de la línia de sol·licitud CONNECT, aquests bytes encara pertanyen al proxy:

CONNECT service.example:443 HTTP/1.1\r\n
Host: service.example:443\r\n
User-Agent: example-client\r\n
\r\n

Retransmetre Host o User-Agent al port 443 dona al destí capçaleres en text pla allà on espera TLS. Aquesta fallada pot produir-se abans que la tria de xifratge importi.

  1. Llegeix i analitza fins al terminador de capçaleres amb línia en blanc, dins d'un termini de configuració i un límit de mida de capçaleres.
  2. Aplica l'autenticació del proxy i la política de destí.
  3. Estableix la connexió de destinació aprovada.
  4. Envia la resposta CONNECT correcta i entra en mode túnel.

Conserva els bytes emmagatzemats després del límit per a l'estat següent adequat. No els descartis ni tractis les capçaleres de sol·licitud del proxy com la sol·licitud posterior del lloc web.

El client té una obligació corresponent al costat de la resposta: acaba de llegir la resposta CONNECT correcta abans d'iniciar el protocol túnel. Els dos extrems han d'acordar el límit on el flux canvia de paper.

Articles relacionats