Certificaatfouten bij het gebruik van een proxy
Bepaal vóór je certificaatinstellingen wijzigt of de TLS-verbinding met de proxy zelf of met de doelwebsite niet door de verificatie kwam.
Zoek uit welke TLS-handshake is mislukt voordat je een CA-bundel wijzigt. Het proxycertificaat en het websitecertificaat kunnen op verschillende verbindingen worden gecontroleerd.
| Proxy en doel | TLS-controles |
|---|---|
| HTTP-proxy naar een HTTPS-doel | Verifieer na CONNECT het certificaat van de bestemming via de tunnel. |
| HTTPS-proxy naar een HTTPS-doel | Verifieer eerst TLS naar de proxy; verifieer na het openen van de tunnel de afzonderlijke TLS-sessie naar de bestemming. |
Gebruik de uitgebreide trace om de aangevraagde hostnaam en de laatst voltooide handshake te vinden. Een certificaatfout bij een HTTPS-proxy kan optreden voordat de website wordt benaderd. Controleer de bedoelde naam voor die verbinding, de geldigheidsperiode van het certificaat, de lokale klok, de verwachte keten en de goedgekeurde vertrouwensopslag. Neem bewust ingestelde TLS-interceptie of toegevoegde rootcertificaten mee in je onderzoek.
curl biedt aparte CA-opties voor de twee verbindingen:
curl --proxy https://proxy.example:8443 --proxy-cacert proxy-ca.pem --cacert site-ca.pem https://example.com/--proxy-cacert levert de vertrouwensbasis voor de proxy; --cacert die voor de bestemming. Vervang het voorbeeldendpoint en de bestanden door waarden uit de vertrouwensconfiguratie die je wilt gebruiken. Eigen bundels zijn overbodig als de systeemvertrouwensopslag al voldoet.
Een hostnaam vervangen door een willekeurig IP verandert de certificaatcontrole op naam. Verificatie overslaan kan de fout verbergen zonder de identiteit van de andere kant vast te stellen. Bij een onbekende proxy is het verzoek om zijn root-CA te installeren geen voldoende reden om hem te vertrouwen.
Een geweigerde poortverbinding of afgewezen CONNECT hoort bij een eerdere fase; certificaten wijzigen lost dat niet op. Omgekeerd hoort een HTTP-fout van de website na geslaagde TLS-verificatie bij het ontvangen antwoord en vraagt die niet om nog een CA-aanpassing.