Quale lato del proxy di ispezione ha rifiutato il certificato?

Il client si fida del proxy di ispezione approvato. La richiesta fallisce comunque per un errore di certificato. Entrambi i fatti possono essere veri: quel proxy ha un'altra relazione TLS da verificare.

client -- TLS to approved intermediary -- proxy -- TLS to website -- destination

In un dispositivo di intercettazione, l'intermediario termina il TLS del client e crea la propria connessione verso valle. Il client può accettare il certificato presentato sul suo lato mentre il proxy rifiuta il certificato che riceve dal sito web.

Leggete l'errore del verificatore

Determinate quale processo ha segnalato la catena o il nome host non validi. Una pagina di errore generata dal proxy può raggiungere il client con successo su una connessione valida. Modificare di nuovo il file CA del client non aggiorna la configurazione di attendibilità a monte del proxy.

Mitmproxy, ad esempio, documenta opzioni separate di attendibilità a monte, tra cui ssl_verify_upstream_trusted_ca. L'amministratore competente può configurare un'attendibilità approvata per il servizio a monte preservando la verifica. Un altro prodotto proxy necessita della propria interfaccia corrispondente.

Controllate anche il nome di destinazione effettivo e la catena. Un servizio privato privo di un intermedio, un certificato scaduto e un emittente privato non riconosciuto richiedono riparazioni diverse. Un'eccezione prevista per un servizio privato non dovrebbe diventare silenziosamente un'accettazione globale di ogni certificato.

Un semplice tunnel CONNECT è diverso

Un tunnel di inoltro opaco non separa il TLS di destinazione in questo modo. L'applicazione di solito negozia e verifica da sé quella sessione TLS end-to-end. Stabilite prima se l'intercettazione fa realmente parte del percorso, invece di applicare le impostazioni del proxy di ispezione a qualsiasi intermediario.

Registrate i due risultati di verifica separatamente. «Il certificato del proxy è attendibile» risponde alla domanda lato client; non certifica ciò che il proxy ha visto quando si è connesso a monte.