Sertifikato klaidos naudojant tarpinį serverį
Prieš keisdami sertifikatų nuostatas nustatykite, ar nepavyko patikrinti paties tarpinio serverio, ar paskirties svetainės TLS ryšio.
Prieš keisdami CA paketą nustatykite, kuris TLS rankos paspaudimas nepavyko. Tarpinio serverio ir svetainės sertifikatai gali būti tikrinami per skirtingus ryšius.
| Tarpinis serveris ir paskirtis | TLS patikros |
|---|---|
| HTTP tarpinis serveris į HTTPS paskirtį | Po CONNECT patikrinkite paskirties sertifikatą per tunelį. |
| HTTPS tarpinis serveris į HTTPS paskirtį | Pirmiausia patikrinkite TLS ryšį su tarpiniu serveriu; atsidarius tuneliui patikrinkite atskirą TLS seansą su paskirtimi. |
Išsamiame sekimo įraše raskite prašomą pagrindinio kompiuterio vardą ir paskutinį užbaigtą rankos paspaudimą. HTTPS tarpinio serverio sertifikato klaida gali įvykti dar prieš susisiekiant su svetaine. Patikrinkite numatytą to ryšio vardą, sertifikato galiojimo laikotarpį, vietinį laikrodį, laukiamą grandinę ir patvirtintą pasitikėjimo saugyklą. Į tyrimą įtraukite ir sąmoningai sukonfigūruotą TLS perėmimą ar pridėtą šakninį sertifikatą.
curl turi atskiras CA parinktis abiem ryšiams:
curl --proxy https://proxy.example:8443 --proxy-cacert proxy-ca.pem --cacert site-ca.pem https://example.com/--proxy-cacert nurodo pasitikėjimo pagrindą tarpiniam serveriui, o --cacert — paskirčiai. Pavyzdinį galinį tašką ir failus pakeiskite numatytos pasitikėjimo sąrankos reikšmėmis. Pasirinktiniai paketai nereikalingi, jei jau pakanka sistemos pasitikėjimo.
Pakeitus pagrindinio kompiuterio vardą atsitiktiniu IP adresu keičiasi sertifikato atitikties tikrinimas. Praleidus patikrą galima paslėpti klaidą nenustačius kito galo tapatybės. Nežinomo tarpinio serverio prašymas įdiegti jo šakninę CA nėra pakankama priežastis juo pasitikėti.
Atmestas prisijungimas prie prievado ar atmestas CONNECT priklauso ankstesniam etapui; sertifikatų keitimas to neištaisys. Ir atvirkščiai: patikrinus paskirties TLS, svetainės HTTP klaida susijusi su gautu atsakymu, o ne dar vienu CA pakeitimu.