Σφάλματα πιστοποιητικών όταν χρησιμοποιείτε proxy
Πριν αλλάξετε ρυθμίσεις πιστοποιητικών, εντοπίστε αν απέτυχε η επαλήθευση της σύνδεσης TLS προς τον ίδιο τον proxy ή προς τον ιστότοπο προορισμού.
Πριν αλλάξετε μια δέσμη CA, βρείτε ποια χειραψία TLS απέτυχε. Το πιστοποιητικό του proxy και εκείνο του ιστοτόπου μπορεί να ελέγχονται σε διαφορετικές συνδέσεις.
| Proxy και προορισμός | Έλεγχοι TLS |
|---|---|
| HTTP proxy προς προορισμό HTTPS | Μετά το CONNECT, επαληθεύστε το πιστοποιητικό προορισμού μέσα από τη σήραγγα. |
| HTTPS proxy προς προορισμό HTTPS | Επαληθεύστε πρώτα το TLS προς τον proxy· μετά το άνοιγμα της σήραγγας, επαληθεύστε την ξεχωριστή συνεδρία TLS προς τον προορισμό. |
Χρησιμοποιήστε το αναλυτικό ίχνος για να βρείτε το ζητούμενο όνομα υπολογιστή και την τελευταία ολοκληρωμένη χειραψία. Ένα σφάλμα πιστοποιητικού του HTTPS proxy μπορεί να προκύψει πριν επικοινωνήσετε με τον ιστότοπο. Ελέγξτε το προβλεπόμενο όνομα της σύνδεσης, την περίοδο ισχύος του πιστοποιητικού, το τοπικό ρολόι, την αναμενόμενη αλυσίδα και το εγκεκριμένο αποθετήριο εμπιστοσύνης. Συμπεριλάβετε στη διερεύνηση κάθε σκόπιμα ρυθμισμένη παρεμβολή TLS ή πρόσθετο πιστοποιητικό ρίζας.
Το curl παρέχει ξεχωριστές επιλογές CA για τις δύο συνδέσεις:
curl --proxy https://proxy.example:8443 --proxy-cacert proxy-ca.pem --cacert site-ca.pem https://example.com/Το --proxy-cacert παρέχει την εμπιστοσύνη για τον proxy· το --cacert για τον προορισμό. Αντικαταστήστε το τελικό σημείο και τα αρχεία του παραδείγματος με τιμές από τη διάταξη εμπιστοσύνης που σκοπεύετε να χρησιμοποιήσετε. Οι προσαρμοσμένες δέσμες είναι περιττές όταν η εμπιστοσύνη του συστήματος αρκεί ήδη.
Η αντικατάσταση ονόματος υπολογιστή με μια αυθαίρετη IP αλλάζει την αντιστοίχιση πιστοποιητικού. Η παράλειψη επαλήθευσης μπορεί να κρύψει την αποτυχία χωρίς να εξακριβώσει την ταυτότητα του άλλου άκρου. Για έναν άγνωστο proxy, το αίτημα εγκατάστασης της δικής του CA ρίζας δεν αποτελεί αρκετό λόγο να τον εμπιστευτείτε.
Μια άρνηση σύνδεσης στη θύρα ή ένα απορριφθέν CONNECT ανήκει σε προηγούμενο στάδιο· οι αλλαγές πιστοποιητικών δεν το διορθώνουν. Αντίστροφα, αφού επαληθευτεί το TLS του προορισμού, ένα σφάλμα HTTP του ιστοτόπου αφορά τη ληφθείσα απόκριση και όχι άλλη προσαρμογή CA.