Quin costat del proxy d'inspecció va rebutjar el certificat?
Localitzeu la fallada de verificació ascendent d'un proxy d'intercepció TLS en lloc de canviar repetidament la configuració de confiança del client.
El client confia en el proxy d'inspecció aprovat. La sol·licitud continua fallant per un error de certificat. Tots dos fets poden ser certs: aquest proxy té una altra relació TLS per verificar.
client -- TLS to approved intermediary -- proxy -- TLS to website -- destinationEn un esquema d'intercepció, l'intermediari acaba el TLS del client i crea la seva pròpia connexió cap endavant. El client pot acceptar el certificat presentat al seu costat mentre el proxy rebutja el certificat que rep del lloc web.
Llegiu l'error del verificador
Determineu quin procés va informar de la cadena o el nom d'amfitrió que havien fallat. Una pàgina d'error generada pel proxy pot arribar amb èxit al client per una connexió vàlida. Tornar a canviar el fitxer CA del client no actualitza la configuració de confiança ascendent del proxy.
Mitmproxy, per exemple, documenta opcions separades de confiança ascendent, com ara ssl_verify_upstream_trusted_ca. L'administrador adequat pot configurar una confiança aprovada per al servei ascendent tot mantenint la verificació. Un altre producte de proxy necessita la seva interfície corresponent.
Comproveu també el nom real de destinació i la cadena. Un servei privat sense un intermediari, un certificat caducat i un emissor privat no reconegut requereixen reparacions diferents. Una excepció prevista per a un servei privat no hauria de convertir-se silenciosament en una acceptació global de tots els certificats.
Un túnel CONNECT simple és diferent
Un túnel de reenviament opac no divideix el TLS de destinació d'aquesta manera. L'aplicació normalment negocia i verifica ella mateixa aquesta sessió TLS d'extrem a extrem. Primer establiu si la intercepció forma part realment de la ruta, en lloc d'aplicar la configuració del proxy d'inspecció a qualsevol intermediari.
Registreu els dos resultats de verificació per separat. «El certificat del proxy és de confiança» respon la pregunta del costat del client; no certifica què va veure el proxy quan es va connectar cap amunt.