Lõpeta CONNECT-päiste sõelumine enne kliendivoo edastamist

Puhverserver, mis edastab alles pärast päringurida, võib saata oma Host-päise sihtkoha TLS-pordile.

Pärast CONNECT-päringurida kuuluvad need baidid endiselt puhvrile:

CONNECT service.example:443 HTTP/1.1\r\n
Host: service.example:443\r\n
User-Agent: example-client\r\n
\r\n

Host või User-Agent edastamine pordile 443 annab sihtkohale lihtteksti päised seal, kus see ootab TLS-i. See viga võib ilmneda enne, kui šifri valik üldse tähtsust omab.

  1. Loe ja sõelu kuni tühja reaga päise lõpuni, seadistustähtaja ja päise suuruse piiri jooksul.
  2. Rakenda puhvri autentimine ja sihtkoha poliitika.
  3. Loo kinnitatud ühendus sihtmärgiga.
  4. Saada õnnestunud CONNECT-vastus ja lülitu tunnelirežiimi.

Säilita piirijärgsed puhverdatud baidid sobiva järgmise oleku jaoks. Ära viska neid ära ega käsitle puhvri päringupäiseid veebisaidi hilisema päringuna.

Kliendil on vastav kohustus vastusepoolel: lõpeta õnnestunud CONNECT-vastuse lugemine enne tunneliprotokolli alustamist. Mõlemad otsad peavad kokku leppima piiris, kus voog vahetab rolli.

Seotud artiklid