Welche Seite des Inspektions-Proxys hat das Zertifikat abgelehnt?

Der Client vertraut dem freigegebenen Inspektions-Proxy. Die Anfrage scheitert dennoch an einem Zertifikatsfehler. Beides kann zutreffen: Dieser Proxy hat eine weitere TLS-Beziehung zu prüfen.

client -- TLS to approved intermediary -- proxy -- TLS to website -- destination

Bei einer Interception beendet der Vermittler das TLS des Clients und baut seine eigene Verbindung weiter auf. Der Client kann das auf seiner Seite vorgelegte Zertifikat akzeptieren, während der Proxy das vom Webserver empfangene Zertifikat ablehnt.

Den Fehler des Prüfers lesen

Bestimmen Sie, welcher Prozess die fehlgeschlagene Kette oder den fehlgeschlagenen Hostnamen gemeldet hat. Eine vom Proxy erzeugte Fehlerseite kann den Client über eine gültige Verbindung erfolgreich erreichen. Ein erneutes Ändern der CA-Datei des Clients aktualisiert nicht die Upstream-Trust-Konfiguration des Proxys.

Mitmproxy dokumentiert beispielsweise separate Upstream-Vertrauensoptionen, darunter ssl_verify_upstream_trusted_ca. Der zuständige Administrator kann ein freigegebenes Vertrauen für den Upstream-Dienst konfigurieren und dabei die Prüfung beibehalten. Ein anderes Proxy-Produkt benötigt seine entsprechende Schnittstelle.

Prüfen Sie auch den tatsächlichen Zielnamen und die Kette. Ein privater Dienst ohne Zwischenzertifikat, ein abgelaufenes Zertifikat und ein unbekannter privater Aussteller erfordern unterschiedliche Korrekturen. Eine beabsichtigte Ausnahme für einen privaten Dienst sollte nicht stillschweigend zu einer globalen Akzeptanz jedes Zertifikats werden.

Ein einfacher CONNECT-Tunnel ist anders

Ein undurchsichtiger Weiterleitungstunnel teilt das TLS des Ziels nicht auf diese Weise. Die Anwendung handelt diese TLS-Sitzung normalerweise selbst aus und prüft sie von Ende zu Ende. Klären Sie zuerst, ob die Interception überhaupt Teil der Route ist, statt Inspektions-Proxy-Einstellungen auf jeden Vermittler anzuwenden.

Halten Sie die beiden Prüfergebnisse getrennt fest. „Dem Proxy-Zertifikat wird vertraut“ beantwortet die Frage auf Client-Seite; es belegt nicht, was der Proxy sah, als er sich nach oben verband.