Varmennevirheet välityspalvelinta käytettäessä
Selvitä ennen varmenneasetusten muuttamista, epäonnistuiko välityspalvelimen oman TLS-yhteyden vai kohdesivuston varmennus.
Selvitä ennen CA-paketin muuttamista, mikä TLS-kättely epäonnistui. Välityspalvelimen ja verkkosivuston varmenteet voidaan tarkistaa eri yhteyksillä.
| Välityspalvelin ja kohde | TLS-tarkistukset |
|---|---|
| HTTP-välityspalvelin HTTPS-kohteeseen | Varmenna kohteen varmenne tunnelin läpi CONNECTin jälkeen. |
| HTTPS-välityspalvelin HTTPS-kohteeseen | Varmenna ensin TLS-yhteys välityspalvelimeen; tunnelin avauduttua varmenna erillinen TLS-istunto kohteeseen. |
Selvitä yksityiskohtaisesta jäljityksestä pyydetty isäntänimi ja viimeinen valmistunut kättely. HTTPS-välityspalvelimen varmennevirhe voi ilmetä ennen yhteydenottoa verkkosivustoon. Tarkista yhteydelle tarkoitettu nimi, varmenteen voimassaoloaika, paikallinen kello, odotettu varmenneketju ja hyväksytty luottamusvarasto. Ota tutkimukseen mukaan tarkoituksella määritetty TLS-liikenteen sieppaus tai lisätty juurivarmenne.
curl tarjoaa erilliset CA-valitsimet kummallekin yhteydelle:
curl --proxy https://proxy.example:8443 --proxy-cacert proxy-ca.pem --cacert site-ca.pem https://example.com/--proxy-cacert määrittää luottamuksen välityspalvelimelle ja --cacert kohteelle. Korvaa esimerkin päätepiste ja tiedostot suunnittelemasi luottamusjärjestelyn arvoilla. Omat paketit ovat tarpeettomia, jos järjestelmän luottamus jo riittää.
Isäntänimen korvaaminen mielivaltaisella IP-osoitteella muuttaa varmenteen täsmäytystä. Varmennuksen ohittaminen voi piilottaa virheen todentamatta vastapuolen henkilöllisyyttä. Tuntemattoman välityspalvelimen pyyntö asentaa sen juuri-CA ei ole riittävä syy luottaa siihen.
Torjuttu porttiyhteys tai hylätty CONNECT kuuluu aiempaan vaiheeseen, eikä varmenteiden muuttaminen korjaa sitä. Vastaavasti kohteen TLS-varmennuksen jälkeen saatu verkkosivuston HTTP-virhe kuuluu vastaanotettuun vastaukseen, ei uuteen CA-säätöön.