Terminați analiza antetelor CONNECT înainte de a retransmite fluxul clientului

Un server proxy care retransmite doar după linia cererii poate trimite propriul antet Host la portul TLS al destinației.

După linia cererii CONNECT, acești octeți aparțin încă proxy-ului:

CONNECT service.example:443 HTTP/1.1\r\n
Host: service.example:443\r\n
User-Agent: example-client\r\n
\r\n

Retransmiterea Host sau User-Agent către portul 443 oferă destinației antete în text simplu acolo unde aceasta așteaptă TLS. Această eroare poate apărea înainte ca alegerea unui cifru să conteze.

  1. Citiți și analizați până la terminatorul antetelor cu linie goală, în cadrul unui termen de configurare și al unei limite de dimensiune a antetelor.
  2. Aplicați autentificarea proxy-ului și politica de destinație.
  3. Stabiliți conexiunea aprobată către țintă.
  4. Trimiteți răspunsul CONNECT reușit și intrați în modul tunel.

Păstrați octeții memorați după graniță pentru starea următoare potrivită. Nu îi aruncați și nu tratați antetele cererii proxy ca cerere ulterioară a site-ului.

Clientul are o obligație corespunzătoare pe partea de răspuns: terminați citirea răspunsului CONNECT reușit înainte de a începe protocolul tunelat. Ambele capete trebuie să cadă de acord asupra graniței unde fluxul își schimbă rolul.

Articole similare