Sertifikātu kļūdas, izmantojot starpniekserveri
Pirms mainīt sertifikātu iestatījumus, noskaidrojiet, vai neizdevās pārbaudīt paša starpniekservera vai mērķa vietnes TLS savienojumu.
Pirms CA pakotnes maiņas noskaidrojiet, kura TLS rokasspiediena procedūra neizdevās. Starpniekservera un vietnes sertifikātus var pārbaudīt dažādos savienojumos.
| Starpniekserveris un mērķis | TLS pārbaudes |
|---|---|
| HTTP starpniekserveris HTTPS mērķim | Pēc CONNECT pārbaudiet mērķa sertifikātu caur tuneli. |
| HTTPS starpniekserveris HTTPS mērķim | Vispirms pārbaudiet TLS savienojumu ar starpniekserveri; pēc tuneļa atvēršanas pārbaudiet atsevišķo TLS sesiju ar mērķi. |
Detalizētajā izsekošanā nosakiet pieprasīto resursdatora nosaukumu un pēdējo pabeigto rokasspiedienu. HTTPS starpniekservera sertifikāta kļūda var rasties pirms sazināšanās ar vietni. Pārbaudiet šim savienojumam paredzēto nosaukumu, sertifikāta derīguma periodu, vietējo pulksteni, gaidīto ķēdi un apstiprināto uzticamības krātuvi. Izmeklēšanā ietveriet arī apzināti konfigurētu TLS pārtveršanu vai pievienotu saknes sertifikātu.
curl piedāvā atsevišķas CA opcijas abiem savienojumiem:
curl --proxy https://proxy.example:8443 --proxy-cacert proxy-ca.pem --cacert site-ca.pem https://example.com/--proxy-cacert nosaka uzticamību starpniekserverim; --cacert — mērķim. Aizstājiet piemēra galapunktu un failus ar paredzētās uzticamības konfigurācijas vērtībām. Pielāgotas pakotnes nav vajadzīgas, ja sistēmas uzticamība jau ir pietiekama.
Resursdatora nosaukuma aizstāšana ar patvaļīgu IP maina sertifikāta atbilstības pārbaudi. Pārbaudes izlaišana var paslēpt kļūmi, neapstiprinot otras puses identitāti. Nezināma starpniekservera lūgums uzstādīt tā saknes CA nav pietiekams iemesls tam uzticēties.
Noraidīts porta savienojums vai noraidīts CONNECT pieder agrākam posmam; sertifikātu maiņa to neizlabos. Savukārt pēc mērķa TLS pārbaudes vietnes HTTP kļūda attiecas uz saņemto atbildi, nevis vēl vienu CA pielāgošanu.