Webhely tanúsítványának vizsgálata HTTP-proxyn keresztül OpenSSL-lel
Használja az OpenSSL s_client programot HTTP CONNECT proxyn keresztül, és tartsa összhangban a cél nevét, az SNI-t és a tanúsítvány ellenőrzését.
Használjon olyan telepített OpenSSL s_client programot, amely támogatja a -proxy kapcsolót. Engedélyezett HTTP CONNECT végponthoz:
openssl s_client -proxy proxy.example:3128 -connect example.com:443 -servername example.com -verify_hostname example.com -verify_return_error -showcertsCserélje le a proxy címét, és következetesen használja a kívánt célnevet. Nyilvános cél teszteléséhez egy választható proxyn keresztül válasszon HTTP-jelöltet az HTTP-proxylistából. A -connect választja ki a célt, a -servername SNI-t küld a TLS virtuális gazdagéphez, a -verify_hostname pedig ellenőrzi az identitást. Az SNI önmagában nem gazdagépnév-ellenőrzés. A beállítások módosításakor tekintse meg a telepített kiadás kézikönyvét.
A -showcerts megjeleníti, amit a szerver küldött, de nem jelenti ki, hogy a lánc megbízható. A -verify_return_error a handshake befejezését kényszeríti ellenőrzési hibák esetén; máskülönben a diagnosztikai kliens folytathatja a hibák után. Privát szolgáltatáshoz használjon jóváhagyott CA-anyagot, és ne bízzon meg véletlenszerűen letöltött tanúsítványban.
| Eredmény | Szakasz |
|---|---|
| 407 | Proxyhitelesítés a cél TLS-e előtt. |
| Elutasított CONNECT-cél | A proxy célházirendje. |
| Tanúsítvány érkezett, az ellenőrzés megtörtént | A cél TLS-cseréje az elfogadott alagúton keresztül. |
OpenSSL 3.x és Basic-hitelesítést használó HTTP-proxy esetén használja az s_client proxyfiók-beállításait, és tartsa meg a cél ellenőrzését.
A csak SOCKS-t kínáló végpont nem biztosítja a parancs által használt HTTP-proxy felületet. Engedélyezett TLS-interception esetén a megjelenített tanúsítványt az a közvetítő bocsáthatta ki. Hasonlítsa össze a kibocsátót és a tervezett bizalmi elrendezést, mielőtt a különbséget hibás webhelynek tulajdonítaná.