ప్రాక్సీ ఉపయోగించేటప్పుడు సర్టిఫికెట్ దోషాలు
సర్టిఫికెట్ సెట్టింగ్‌లు మార్చే ముందు ధ్రువీకరణ ప్రాక్సీ స్వంత TLS కనెక్షన్‌లో విఫలమైందా లేక గమ్య వెబ్‌సైట్‌లోనా గుర్తించండి.
CA బండిల్ మార్చే ముందు ఏ TLS హ్యాండ్‌షేక్ విఫలమైందో కనుగొనండి. ప్రాక్సీ సర్టిఫికెట్, వెబ్‌సైట్ సర్టిఫికెట్ వేర్వేరు కనెక్షన్‌లపై తనిఖీ చేయబడవచ్చు.
| ప్రాక్సీ, గమ్యం | TLS తనిఖీలు |
|---|---|
| HTTPS గమ్యానికి HTTP ప్రాక్సీ | CONNECT తర్వాత టన్నెల్ ద్వారా గమ్య సర్టిఫికెట్‌ను ధ్రువీకరించండి. |
| HTTPS గమ్యానికి HTTPS ప్రాక్సీ | ముందుగా ప్రాక్సీకి TLSను ధ్రువీకరించండి; టన్నెల్ తెరిచిన తర్వాత గమ్యానికి ప్రత్యేక TLS సెషన్‌ను ధ్రువీకరించండి. |
కోరిన హోస్ట్ పేరు, చివరిగా పూర్తయిన హ్యాండ్‌షేక్‌ను వివరమైన ట్రేస్‌తో గుర్తించండి. HTTPS ప్రాక్సీ సర్టిఫికెట్ వైఫల్యం వెబ్‌సైట్‌ను సంప్రదించకముందే జరగవచ్చు. ఆ కనెక్షన్‌కు ఉద్దేశించిన పేరు, సర్టిఫికెట్ చెల్లుబాటు కాలం, స్థానిక గడియారం, ఆశించిన చైన్, ఆమోదించిన ట్రస్ట్ స్టోర్ తనిఖీ చేయండి. ఉద్దేశపూర్వకంగా కాన్ఫిగర్ చేసిన TLS ఇంటర్‌సెప్షన్ లేదా జోడించిన రూట్ సర్టిఫికెట్‌ను కూడా పరిశీలనలో చేర్చండి.
curl రెండు కనెక్షన్‌లకు వేర్వేరు CA ఎంపికలు అందిస్తుంది:
curl --proxy https://proxy.example:8443 --proxy-cacert proxy-ca.pem --cacert site-ca.pem https://example.com/--proxy-cacert ప్రాక్సీకి నమ్మకపు ఆధారం ఇస్తుంది; --cacert గమ్యానికి ఇస్తుంది. ఉదాహరణలోని ఎండ్‌పాయింట్, ఫైళ్లను మీ ఉద్దేశిత నమ్మకపు అమరిక విలువలతో మార్చండి. సిస్టమ్ నమ్మకం ఇప్పటికే సరిపోతే ప్రత్యేక బండిళ్లు అవసరం లేదు.
హోస్ట్ పేరును ఏదో ఒక IPతో మార్చడం సర్టిఫికెట్ సరిపోలికను మారుస్తుంది. ధ్రువీకరణను దాటవేయడం ఎదురువైపు గుర్తింపును స్థాపించకుండానే వైఫల్యాన్ని దాచవచ్చు. పరిచయంలేని ప్రాక్సీ తన రూట్ CAను ఇన్‌స్టాల్ చేయమని అడగడం దాన్ని నమ్మడానికి తగిన కారణం కాదు.
పోర్ట్ కనెక్షన్ తిరస్కరణ లేదా CONNECT తిరస్కరణ ముందరి దశకు చెందుతుంది; సర్టిఫికెట్లు మార్చడం దాన్ని సరిచేయదు. మరోవైపు గమ్య TLS ధ్రువీకరించిన తర్వాత వెబ్‌సైట్ HTTP దోషం అందుకున్న ప్రతిస్పందనకు చెందుతుంది, మరో CA సర్దుబాటుకు కాదు.