¿Qué lado del proxy de inspección rechazó el certificado?

El cliente confía en el proxy de inspección aprobado. La solicitud sigue fallando por un error de certificado. Ambos hechos pueden ser ciertos: ese proxy tiene otra relación TLS que verificar.

client -- TLS to approved intermediary -- proxy -- TLS to website -- destination

En un esquema de interceptación, el intermediario termina el TLS del cliente y crea su propia conexión hacia delante. El cliente puede aceptar el certificado presentado en su lado mientras el proxy rechaza el certificado que recibe del sitio web.

Lea el error del verificador

Determine qué proceso informó de la cadena o el nombre de host fallidos. Una página de error generada por el proxy puede llegar al cliente con éxito a través de una conexión válida. Volver a cambiar el archivo CA del cliente no actualiza la configuración de confianza ascendente del proxy.

Mitmproxy, por ejemplo, documenta opciones separadas de confianza ascendente, incluida ssl_verify_upstream_trusted_ca. El administrador adecuado puede configurar una confianza aprobada para el servicio ascendente y mantener la verificación. Otro producto de proxy necesita su interfaz correspondiente.

Compruebe también el nombre real de destino y la cadena. Un servicio privado al que le falta un intermedio, un certificado caducado y un emisor privado no reconocido requieren reparaciones distintas. Una excepción prevista para un servicio privado no debería convertirse en silencio en una aceptación global de todos los certificados.

Un túnel CONNECT simple es diferente

Un túnel de reenvío opaco no divide el TLS del destino de esta manera. Normalmente, la aplicación negocia y verifica por sí misma esa sesión TLS de extremo a extremo. Primero determine si la interceptación forma realmente parte de la ruta, en lugar de aplicar la configuración del proxy de inspección a cualquier intermediario.

Registre los dos resultados de verificación por separado. «Se confía en el certificado del proxy» responde a la pregunta del lado del cliente; no certifica lo que vio el proxy al conectarse hacia arriba.