Remata de analizar as cabeceiras CONNECT antes de retransmitir o fluxo do cliente

Un servidor proxy que retransmite só tras a liña de solicitude pode enviar a súa propia cabeceira Host ao porto TLS do destino.

Tras a liña de solicitude CONNECT, estes bytes aínda pertencen ao proxy:

CONNECT service.example:443 HTTP/1.1\r\n
Host: service.example:443\r\n
User-Agent: example-client\r\n
\r\n

Reenviar Host ou User-Agent ao porto 443 entrega ao destino cabeceiras en texto plano onde espera TLS. Ese fallo pode ocorrer antes de que a elección de cifrado importe.

  1. Le e analiza ata o terminador de cabeceiras de liña en branco, dentro dun prazo de configuración e un límite de tamaño de cabeceiras.
  2. Aplica a autenticación do proxy e a política de destino.
  3. Establece a conexión de destino aprobada.
  4. Envía a resposta CONNECT correcta e entra en modo túnel.

Conserva os bytes almacenados tras o límite para o seguinte estado axeitado. Non os descartes nin trates as cabeceiras de solicitude do proxy como a solicitude posterior do sitio web.

O cliente ten unha obriga correspondente no lado da resposta: remata de ler a resposta CONNECT correcta antes de iniciar o protocolo tunelizado. Ambos os extremos deben acordar o límite onde o fluxo cambia de papel.

Artigos relacionados