ပရောက်စီသုံးရာမှာ ဖြစ်တဲ့ ဆာတီဖီကိတ်အမှားများ

CA အစုအဝေးကို မပြောင်းခင် ဘယ် TLS handshake ပျက်သွားသလဲ ရှာပါ။ ပရောက်စီဆာတီဖီကိတ်နဲ့ ဝက်ဘ်ဆိုက်ဆာတီဖီကိတ်ကို မတူတဲ့ချိတ်ဆက်မှုတွေမှာ စစ်ဆေးနိုင်ပါတယ်။

တောင်းဆိုထားတဲ့ ဟို့စ်နာမည်နဲ့ နောက်ဆုံးပြီးစီးသွားတဲ့ handshake ကို အသေးစိတ်ခြေရာခံအချက်အလက်ကနေ ခွဲခြားပါ။ HTTPS ပရောက်စီဆာတီဖီကိတ်အမှားဟာ ဝက်ဘ်ဆိုက်ကို မဆက်သွယ်ရသေးခင် ဖြစ်နိုင်ပါတယ်။ အဲဒီချိတ်ဆက်မှုအတွက် ရည်ရွယ်ထားတဲ့ နာမည်၊ ဆာတီဖီကိတ်သက်တမ်း၊ စက်တွင်းနာရီ၊ မျှော်လင့်ထားတဲ့ ဆာတီဖီကိတ်ကွင်းဆက်နဲ့ အတည်ပြုထားတဲ့ ယုံကြည်မှုသိုလှောင်ရာကို စစ်ပါ။ တမင်သတ်မှတ်ထားတဲ့ TLS interception ဒါမှမဟုတ် ထပ်ထည့်ထားတဲ့ root ဆာတီဖီကိတ်ကိုပါ စစ်ဆေးမှုထဲ ထည့်တွက်ပါ။

curl မှာ ချိတ်ဆက်မှုနှစ်ခုအတွက် သီးခြား CA ရွေးချယ်စရာတွေ ရှိပါတယ်။

curl --proxy https://proxy.example:8443 --proxy-cacert proxy-ca.pem --cacert site-ca.pem https://example.com/

--proxy-cacert က ပရောက်စီအတွက် ယုံကြည်မှုအခြေခံကို ပေးပြီး --cacert က ဦးတည်ရာအတွက် ပေးပါတယ်။ ဥပမာထဲက ချိတ်ဆက်အမှတ်နဲ့ ဖိုင်တွေကို သင်ရည်ရွယ်တဲ့ ယုံကြည်မှုအစီအမံရဲ့ တန်ဖိုးတွေနဲ့ အစားထိုးပါ။ စနစ်ရဲ့ ယုံကြည်မှုက လုံလောက်ပြီးသားဆိုရင် ကိုယ်ပိုင်အစုအဝေး မလိုပါ။

ဟို့စ်နာမည်ကို IP တစ်ခုခုနဲ့ အစားထိုးရင် ဆာတီဖီကိတ်တိုက်ဆိုင်စစ်ဆေးမှု ပြောင်းသွားပါတယ်။ အတည်ပြုမှုကျော်လိုက်တာက အခြားဘက်ရဲ့ အထောက်အထားကို မသိရဘဲ အမှားကိုသာ ဖုံးကွယ်နိုင်ပါတယ်။ မရင်းနှီးတဲ့ ပရောက်စီရဲ့ ၎င်းကိုယ်ပိုင် root CA ကို ထည့်သွင်းခိုင်းတဲ့ တောင်းဆိုချက်ဟာ ယုံကြည်ဖို့ လုံလောက်တဲ့အကြောင်း မဟုတ်ပါ။

ပေါ့တ်ချိတ်ဆက်မှု ငြင်းပယ်တာ ဒါမှမဟုတ် CONNECT ငြင်းပယ်တာက အရင်အဆင့်ရဲ့ပြဿနာပါ။ ဆာတီဖီကိတ်ပြောင်းတာနဲ့ မပြင်နိုင်ပါ။ အပြန်အလှန်အားဖြင့် ဦးတည်ရာ TLS အတည်ပြုပြီးနောက် ဝက်ဘ်ဆိုက်ရဲ့ HTTP အမှားက ရရှိတဲ့တုံ့ပြန်ချက်နဲ့ ဆိုင်တာဖြစ်ပြီး CA ထပ်ညှိဖို့ မဟုတ်ပါ။