Welke kant van de inspectieproxy weigerde het certificaat?

De client vertrouwt de goedgekeurde inspectieproxy. Het verzoek mislukt toch door een certificaatfout. Beide feiten kunnen waar zijn: die proxy heeft nog een TLS-relatie te verifiëren.

client -- TLS to approved intermediary -- proxy -- TLS to website -- destination

Bij onderschepping beëindigt de tussenpersoon de TLS van de client en bouwt zijn eigen verbinding verder op. De client kan het certificaat accepteren dat aan zijn kant wordt aangeboden, terwijl de proxy het certificaat weigert dat hij van de website ontvangt.

Lees de fout van de verifieerder

Bepaal welk proces de mislukte keten of hostnaam heeft gemeld. Een door de proxy gegenereerde foutpagina kan de client via een geldige verbinding wel bereiken. Het CA-bestand van de client opnieuw wijzigen werkt de upstream-vertrouwensconfiguratie van de proxy niet bij.

Mitmproxy documenteert bijvoorbeeld afzonderlijke upstream-vertrouwensopties, waaronder ssl_verify_upstream_trusted_ca. De juiste beheerder kan goedgekeurd vertrouwen voor de upstreamdienst instellen en de verificatie behouden. Een ander proxyproduct heeft zijn eigen bijbehorende interface nodig.

Controleer ook de werkelijke bestemmingsnaam en de keten. Een privédienst zonder tussenliggend certificaat, een verlopen certificaat en een onbekende private uitgever vereisen verschillende reparaties. Een bedoelde uitzondering voor één privédienst mag niet stilzwijgend een wereldwijde acceptatie van elk certificaat worden.

Een gewone CONNECT-tunnel is anders

Een ondoorzichtige doorstuurtunnel splitst de TLS van de bestemming niet op deze manier. De toepassing onderhandelt en verifieert die end-to-end TLS-sessie meestal zelf. Stel eerst vast of de onderschepping werkelijk deel van de route uitmaakt, in plaats van inspectieproxy-instellingen op elke tussenpersoon toe te passen.

Leg de twee verificatieresultaten afzonderlijk vast. „Het certificaat van de proxy wordt vertrouwd“ beantwoordt de vraag aan de clientzijde; het bewijst niet wat de proxy zag toen hij upstream verbond.