Aling panig ng inspection proxy ang tumanggi sa sertipiko?

Nagtitiwala ang client sa aprubadong inspection proxy. Nabibigo pa rin ang kahilingan dahil sa error sa sertipiko. Maaaring totoo ang dalawang bagay: may isa pang TLS na relasyon ang proxy na iyon na kailangang i-verify.

client -- TLS to approved intermediary -- proxy -- TLS to website -- destination

Sa isang kaayusang interception, tinatapos ng tagapamagitan ang TLS ng client at gumagawa ng sarili nitong koneksyon pasulong. Maaaring tanggapin ng client ang sertipikong inihaharap sa kanyang panig habang tinatanggihan ng proxy ang sertipikong natatanggap nito mula sa website.

Basahin ang error ng verifier

Alamin kung aling proseso ang nag-ulat ng nabigong chain o hostname. Ang error page na ginawa ng proxy ay maaaring matagumpay na makarating sa client sa pamamagitan ng valid na koneksyon. Ang muling pagpapalit ng CA file ng client ay hindi nag-a-update sa upstream trust configuration ng proxy.

Halimbawa, idinodokumento ng Mitmproxy ang hiwalay na mga opsyon sa upstream trust, kabilang ang ssl_verify_upstream_trusted_ca. Maaaring i-configure ng tamang administrator ang aprubadong trust para sa upstream service habang pinapanatili ang verification. Kailangan ng ibang proxy product ang katumbas nitong interface.

Suriin din ang aktwal na pangalan ng destinasyon at ang chain. Ang pribadong serbisyo na kulang sa intermediate, ang nag-expire na sertipiko at ang hindi kilalang pribadong issuer ay nangangailangan ng magkakaibang pag-aayos. Ang sadyang pagbubukod para sa isang pribadong serbisyo ay hindi dapat tahimik na maging pandaigdigang pagtanggap ng bawat sertipiko.

Iba ang plain CONNECT tunnel

Hindi hinahati ng opaque forward tunnel ang TLS ng destinasyon sa ganitong paraan. Karaniwang ang application mismo ang nakikipag-usap at nagbe-verify ng end-to-end TLS session na iyon. Alamin muna kung talagang bahagi ng ruta ang interception, sa halip na ilapat ang inspection-proxy settings sa anumang tagapamagitan.

Itala nang hiwalay ang dalawang resulta ng verification. Ang „Ang sertipiko ng proxy ay pinagkakatiwalaan“ ay sumasagot sa tanong sa panig ng client; hindi nito pinapatunayan kung ano ang nakita ng proxy nang kumonekta ito pataas.