Inspiser et nettstedssertifikat gjennom en HTTP-proxy med OpenSSL

Bruk en installert OpenSSL s_client som støtter -proxy. For et autorisert HTTP CONNECT-endepunkt:

openssl s_client -proxy proxy.example:3128   -connect example.com:443 -servername example.com   -verify_hostname example.com -verify_return_error -showcerts

Bytt ut proxyadressen og bruk det tiltenkte målnavnet konsekvent. For å teste et offentlig mål gjennom en proxy du kan velge, velger du en HTTP-kandidat fra HTTP-proxylisten. -connect velger målet, -servername sender SNI for den virtuelle TLS-verten, og -verify_hostname kontrollerer identiteten. SNI alene er ikke vertsnavnverifisering. Sjekk håndboken for den installerte utgaven når du tilpasser alternativer.

-showcerts viser hva serveren sendte, ikke at kjeden er klarert. -verify_return_error gjør at verifiseringsfeil avslutter håndtrykket; ellers kan diagnoseklienten fortsette etter feil. Bruk godkjent CA-materiale for en privat tjeneste i stedet for å stole på et tilfeldig nedlastet sertifikat.

Med OpenSSL 3.x og en HTTP-proxy med Basic-autentisering bruker du s_client-proxykontoalternativene samtidig som målverifiseringen beholdes.

Et endepunkt som bare tilbyr SOCKS, gir ikke HTTP-proxygrensesnittet som denne kommandoen bruker. Ved autorisert TLS-avskjæring kan sertifikatet som vises være utstedt av mellomleddet. Sammenlign utstederen og den tiltenkte tillitsordningen før du tilskriver forskjellen et ødelagt nettsted.