Żbalji taċ-ċertifikati meta tuża proxy
Qabel tibdel is-settings taċ-ċertifikati, identifika jekk il-verifika fallietx fuq il-konnessjoni TLS tal-proxy nnifsu jew tas-sit tad-destinazzjoni.
Sib liema handshake TLS falla qabel tibdel ġabra ta’ CA. Iċ-ċertifikat tal-proxy u dak tas-sit jistgħu jiġu vverifikati fuq konnessjonijiet differenti.
| Proxy u destinazzjoni | Verifiki TLS |
|---|---|
| Proxy HTTP għal destinazzjoni HTTPS | Wara CONNECT, ivverifika ċ-ċertifikat tad-destinazzjoni permezz tat-tunnel. |
| Proxy HTTPS għal destinazzjoni HTTPS | L-ewwel ivverifika TLS lejn il-proxy; wara li jinfetaħ it-tunnel, ivverifika s-sessjoni TLS separata lejn id-destinazzjoni. |
Uża t-traċċa dettaljata biex tidentifika l-isem tal-host mitlub u l-aħħar handshake komplut. Żball fiċ-ċertifikat ta’ proxy HTTPS jista’ jseħħ qabel ma jiġi kkuntattjat is-sit. Iċċekkja l-isem maħsub għal dik il-konnessjoni, il-perjodu ta’ validità taċ-ċertifikat, l-arloġġ lokali, il-katina mistennija u l-maħżen ta’ fiduċja approvat. Inkludi fl-investigazzjoni kwalunkwe interċettazzjoni TLS ikkonfigurata apposta jew ċertifikat għerq miżjud.
curl jipprovdi għażliet CA separati għaż-żewġ konnessjonijiet:
curl --proxy https://proxy.example:8443 --proxy-cacert proxy-ca.pem --cacert site-ca.pem https://example.com/--proxy-cacert jipprovdi l-bażi ta’ fiduċja għall-proxy; --cacert għad-destinazzjoni. Ibdel l-endpoint u l-fajls tal-eżempju bil-valuri mill-arranġament ta’ fiduċja li biħsiebek tuża. Ġabriet personalizzati mhumiex meħtieġa meta l-fiduċja tas-sistema diġà hi biżżejjed.
Li tissostitwixxi isem host b’IP arbitrarju jibdel it-tqabbil taċ-ċertifikat. Li taqbeż il-verifika jista’ jaħbi l-falliment mingħajr ma jistabbilixxi l-identità tan-naħa l-oħra. Għal proxy li ma tafux, talba biex tinstalla l-CA għerq tiegħu mhijiex raġuni biżżejjed biex tafdah.
Konnessjoni ma’ port irrifjutata jew CONNECT miċħud jappartjenu għal stadju preċedenti; tibdil taċ-ċertifikati ma jirranġax dan. Bil-maqlub, wara li TLS tad-destinazzjoni jiġi vverifikat, żball HTTP tas-sit jikkonċerna r-risposta riċevuta, mhux aġġustament ieħor tal-CA.