Hvilken side av inspeksjonsproxyen avviste sertifikatet?

Klienten stoler på den godkjente inspeksjonsproxyen. Forespørselen feiler likevel på grunn av en sertifikatfeil. Begge forholdene kan være sanne: den proxyen har en annen TLS-relasjon å verifisere.

client -- TLS to approved intermediary -- proxy -- TLS to website -- destination

Ved avlytting avslutter mellomleddet klientens TLS og oppretter sin egen forbindelse videre. Klienten kan godta sertifikatet som presenteres på dens side, mens proxyen avviser sertifikatet den mottar fra nettstedet.

Les verifisererens feil

Avgjør hvilken prosess som rapporterte den mislykkede kjeden eller vertsnavnet. En feilside generert av proxyen kan nå klienten med suksess over en gyldig tilkobling. Å endre klientens CA-fil igjen oppdaterer ikke proxyens oppstrøms tillitskonfigurasjon.

Mitmproxy dokumenterer for eksempel separate oppstrøms tillitsvalg, inkludert ssl_verify_upstream_trusted_ca. Den rette administratoren kan konfigurere godkjent tillit for oppstrømstjenesten mens verifiseringen beholdes. Et annet proxyprodukt trenger sitt tilsvarende grensesnitt.

Kontroller også det faktiske destinasjonsnavnet og kjeden. En privat tjeneste uten mellomliggende sertifikat, et utløpt sertifikat og en ukjent privat utsteder krever ulike reparasjoner. Et tiltenkt unntak for én privat tjeneste bør ikke stille bli en global aksept av hvert sertifikat.

En vanlig CONNECT-tunnel er annerledes

En ugjennomsiktig videresendingstunnel deler ikke destinasjonens TLS på denne måten. Applikasjonen forhandler og verifiserer vanligvis selv den ende-til-ende TLS-økten. Fastslå først om avlyttingen faktisk er en del av ruten, i stedet for å bruke innstillinger for inspeksjonsproxy på enhver mellommann.

Registrer de to verifikasjonsresultatene hver for seg. «Proxyens sertifikat er betrodd» svarer på spørsmålet på klientsiden; det bekrefter ikke hva proxyen så da den koblet oppstrøms.