Kumpi tarkastusvälityspalvelimen puoli hylkäsi varmenteen?

Asiakas luottaa hyväksyttyyn tarkastusvälityspalvelimeen. Pyyntö epäonnistuu silti varmenteen virheen vuoksi. Molemmat voivat pitää paikkansa: tuolla välityspalvelimella on toinenkin TLS-suhde varmennettavana.

client -- TLS to approved intermediary -- proxy -- TLS to website -- destination

Sieppausjärjestelyssä välittäjä päättää asiakkaan TLS:n ja luo oman yhteytensä eteenpäin. Asiakas voi hyväksyä omalla puolellaan esitetyn varmenteen, kun taas välityspalvelin hylkää verkkosivustolta saamansa varmenteen.

Lue varmentajan virhe

Selvitä, mikä prosessi ilmoitti epäonnistuneesta ketjusta tai isäntänimestä. Välityspalvelimen luoma virhesivu voi päästä asiakkaalle onnistuneesti kelvollisen yhteyden kautta. Asiakkaan CA-tiedoston vaihtaminen uudelleen ei päivitä välityspalvelimen ylävirran luottamusasetuksia.

Esimerkiksi Mitmproxy dokumentoi erilliset ylävirran luottamusasetukset, mukaan lukien ssl_verify_upstream_trusted_ca. Asianmukainen ylläpitäjä voi määrittää hyväksytyn luottamuksen ylävirran palvelulle säilyttäen varmentamisen. Toinen välityspalvelintuote tarvitsee oman vastaavan rajapintansa.

Tarkista myös todellinen kohdenimi ja ketju. Yksityispalvelu, josta puuttuu välivarmente, vanhentunut varmenne ja tuntematon yksityinen myöntäjä vaativat erilaiset korjaukset. Yhtä yksityispalvelua varten tarkoitettu poikkeus ei saisi hiljaisesti muuttua kaikkien varmenteiden maailmanlaajuiseksi hyväksynnäksi.

Tavallinen CONNECT-tunneli on erilainen

Läpinäkymätön edelleenlähetystunneli ei jaa kohteen TLS:ää tällä tavalla. Sovellus yleensä neuvottelee ja varmentaa tuon päästä päähän -TLS-istunnon itse. Selvitä ensin, onko sieppaus todella osa reittiä, sen sijaan että sovellat tarkastusvälityspalvelimen asetuksia mihin tahansa välittäjään.

Kirjaa kaksi varmennustulosta erikseen. „Välityspalvelimen varmenteeseen luotetaan“ vastaa asiakkaan puolen kysymykseen; se ei todista, mitä välityspalvelin näki yhdistäessään ylävirtaan.