Kontrola certifikátu webu cez HTTP proxy pomocou OpenSSL
Použite OpenSSL s_client cez HTTP CONNECT proxy a zosúlaďte názov cieľa, SNI a overenie certifikátu.
Použite nainštalovaný OpenSSL s_client s podporou -proxy. Pre autorizovaný koncový bod HTTP CONNECT:
openssl s_client -proxy proxy.example:3128 -connect example.com:443 -servername example.com -verify_hostname example.com -verify_return_error -showcertsNahraďte adresu proxy a dôsledne používajte zamýšľaný názov cieľa. Ak chcete otestovať verejný cieľ cez proxy, ktorý môžete vybrať, zvoľte HTTP kandidáta zo zoznamu HTTP proxy. -connect vyberá cieľ, -servername odosiela SNI pre jeho virtuálny TLS hostiteľ a -verify_hostname kontroluje identitu. SNI samo osebe nie je overenie názvu hostiteľa. Pri úprave možností skontrolujte príručku nainštalovaného vydania.
-showcerts zobrazuje, čo server odoslal, nie vyhlásenie, že reťaz je dôveryhodná. -verify_return_error spôsobí ukončenie handshake pri chybách overenia; inak môže diagnostický klient po chybách pokračovať. Pre súkromnú službu použite schválený materiál CA namiesto dôvery v náhodne stiahnutý certifikát.
| Výsledok | Fáza |
|---|---|
| 407 | Overenie proxy pred TLS cieľa. |
| Odmietnutý cieľ CONNECT | Politika cieľa proxy. |
| Certifikát prijatý a overenie vyskúšané | TLS výmena cieľa cez prijatý tunel. |
S OpenSSL 3.x a HTTP proxy s Basic autentifikáciou použite voľby proxy účtu s_client a zachovajte overenie cieľa.
Koncový bod iba SOCKS neposkytuje rozhranie HTTP proxy, ktoré tento príkaz používa. Pri autorizovanom TLS odpočúvaní môže zobrazený certifikát vydať tento sprostredkovateľ. Porovnajte jeho vydavateľa a zamýšľané usporiadanie dôvery skôr, než rozdiel pripíšete chybnej webovej stránke.