پراکسی استعمال کرتے وقت سرٹیفکیٹ کی خرابیاں

CA بنڈل بدلنے سے پہلے معلوم کریں کون سا TLS ہینڈشیک ناکام ہوا۔ پراکسی اور ویب سائٹ کے سرٹیفکیٹ الگ کنکشنوں پر جانچے جا سکتے ہیں۔

تفصیلی ٹریس سے مطلوبہ ہوسٹ نام اور آخری مکمل ہینڈشیک پہچانیں۔ HTTPS پراکسی کے سرٹیفکیٹ کی خرابی ویب سائٹ سے رابطے سے پہلے آ سکتی ہے۔ اس کنکشن کا مطلوبہ نام، سرٹیفکیٹ کی میعاد، مقامی گھڑی، متوقع چین اور منظور شدہ ٹرسٹ اسٹور دیکھیں۔ جان بوجھ کر ترتیب دی گئی TLS انٹرسیپشن یا شامل کیا گیا روٹ سرٹیفکیٹ بھی جانچ میں رکھیں۔

curl دونوں کنکشنوں کے لیے الگ CA آپشن دیتا ہے:

curl --proxy https://proxy.example:8443 --proxy-cacert proxy-ca.pem --cacert site-ca.pem https://example.com/

--proxy-cacert پراکسی کے لیے اعتماد کی بنیاد فراہم کرتا ہے؛ --cacert منزل کے لیے۔ مثال کے اینڈپوائنٹ اور فائلوں کو اپنے مطلوبہ اعتماد کے انتظام کی قدروں سے بدلیں۔ اگر سسٹم کا اعتماد پہلے ہی کافی ہے تو الگ بنڈل درکار نہیں۔

ہوسٹ نام کو کسی من مانے IP سے بدلنے سے سرٹیفکیٹ کی مطابقت بدلتی ہے۔ تصدیق چھوڑ دینا خرابی چھپا سکتا ہے مگر دوسری جانب کی شناخت ثابت نہیں کرتا۔ غیر مانوس پراکسی کا اپنا روٹ CA نصب کرنے کا مطالبہ اس پر اعتماد کی کافی وجہ نہیں۔

پورٹ پر کنکشن مسترد ہونا یا CONNECT رد ہونا پہلے مرحلے کا معاملہ ہے؛ سرٹیفکیٹ بدلنے سے یہ درست نہیں ہوگا۔ اس کے برعکس، منزل کی TLS تصدیق کے بعد ویب سائٹ کی HTTP خرابی موصولہ جواب کا معاملہ ہے، CA میں مزید تبدیلی کا نہیں۔