Sertifikaatflaters by it brûken fan in proxy
Sykje foar it wizigjen fan sertifikaatynstellingen út oft de TLS-ferbining mei de proxy sels of mei de doelwebside net troch de ferifikaasje kaam.
Sykje út hokker TLS-handshake mislearre foardatst in CA-bondel wizigest. It proxysertifikaat en it websidesertifikaat kinne op ferskillende ferbiningen kontrolearre wurde.
| Proxy en doel | TLS-kontrôles |
|---|---|
| HTTP-proxy nei in HTTPS-doel | Ferifiearje nei CONNECT it sertifikaat fan it doel troch de tunnel. |
| HTTPS-proxy nei in HTTPS-doel | Ferifiearje earst TLS nei de proxy; ferifiearje nei it iepenjen fan de tunnel de aparte TLS-sesje nei it doel. |
Brûk de detaillearre trace om de frege hostnamme en de lêst foltôge handshake te finen. In sertifikaatflater by in HTTPS-proxy kin barre foardat de webside kontakt kriget. Kontrolearje de bedoelde namme foar dy ferbining, de jildichheidsperioade fan it sertifikaat, de lokale klok, de ferwachte keatling en de goedkarde fertrouwensopslach. Nim mei opsetsin ynstelde TLS-ûnderskepping of tafoege rootsertifikaten mei yn it ûndersyk.
curl biedt aparte CA-opsjes foar de beide ferbiningen:
curl --proxy https://proxy.example:8443 --proxy-cacert proxy-ca.pem --cacert site-ca.pem https://example.com/--proxy-cacert jout de fertrouwensbasis foar de proxy; --cacert foar it doel. Ferfang it foarbyldeindpunt en de bestannen troch wearden út de fertrouwensynstelling dy'tst brûke wolst. Eigen bondels binne net nedich as it systeemfertrouwen al foldwaande is.
In hostnamme ferfange troch in willekeurich IP feroaret de sertifikaatferliking. Ferifikaasje oerslaan kin de flater ferbergje sûnder de identiteit fan de oare kant fêst te stellen. By in ûnbekende proxy is in fersyk om syn root-CA te ynstallearjen gjin foldwaande reden om him te fertrouwen.
In wegere poarteferbining of ôfwiisd CONNECT heart by in eardere faze; sertifikaten wizigje lost dat net op. Oarsom heart in HTTP-flater fan de webside nei slagge doel-TLS-ferifikaasje by it ûntfongen antwurd en net by noch in CA-oanpassing.