Прокси ашиглах үеийн сертификатын алдаа
Сертификатын тохиргоог өөрчлөхөөс өмнө проксигийн өөрийн TLS холболт уу, зорилтот сайтын холболт уу гэдгийн баталгаажуулалт унасныг тогтоо.
CA багцыг өөрчлөхөөс өмнө аль TLS гар барилт бүтэлгүйтсэнийг ол. Проксигийн сертификат ба сайтын сертификатыг өөр өөр холболт дээр шалгаж болно.
| Прокси ба зорилтот тал | TLS шалгалтууд |
|---|---|
| HTTPS зорилтот талд хүргэх HTTP прокси | CONNECT-ийн дараа зорилтот талын сертификатыг туннелиэр баталгаажуул. |
| HTTPS зорилтот талд хүргэх HTTPS прокси | Эхлээд прокси хүртэлх TLS-ийг баталгаажуул; туннель нээгдсэний дараа зорилтот тал хүртэлх тусдаа TLS сеансыг баталгаажуул. |
Дэлгэрэнгүй мөрөөс хүссэн хостын нэр болон хамгийн сүүлд дууссан гар барилтыг тогтоо. HTTPS проксигийн сертификатын алдаа сайттай холбогдохоос өмнө гарч болно. Тэр холболтод зориулсан нэр, сертификатын хүчинтэй хугацаа, дотоод цаг, хүлээгдэж буй гинж, зөвшөөрөгдсөн итгэлийн санг шалга. Зориуд тохируулсан TLS замаас барилт эсвэл нэмсэн эх сертификатыг ч судалгаанд оруул.
curl хоёр холболтод тусдаа CA сонголт өгдөг:
curl --proxy https://proxy.example:8443 --proxy-cacert proxy-ca.pem --cacert site-ca.pem https://example.com/--proxy-cacert нь проксид, --cacert нь зорилтот талд итгэх үндсийг өгнө. Жишээний төгсгөлийн цэг болон файлуудыг төлөвлөсөн итгэлийн тохиргооны утгаар солино. Системийн итгэл хангалттай бол тусгай багц хэрэггүй.
Хостын нэрийг дурын IP-ээр солих нь сертификат тааруулах нөхцөлийг өөрчилнө. Баталгаажуулалтыг алгасах нь нөгөө талын хэн болохыг тогтоохгүйгээр алдааг нууж болно. Танил бус проксигийн өөрийн эх CA-г суулгахыг хүсэх нь түүнд итгэх хангалттай шалтгаан биш.
Портын холболт эсвэл CONNECT татгалзагдсан нь өмнөх шатны асуудал; сертификат солих нь үүнийг засахгүй. Харин зорилтот TLS баталгаажсаны дараа сайтын HTTP алдаа нь авсан хариунд хамаарна, дахин CA тохируулах асуудал биш.