אן HTTPS פּראַקסי מוז אויך שיקן זײַן קייט פֿון צערטיפֿיקאַטן
דיאַגנאָזירט פֿעלנדיקע צווישנצערטיפֿיקאַטן אויפֿן TLS־צוהערער פֿונעם קליענט צו Squid באַזונדער פֿונעם צערטיפֿיקאַט פֿון דער ציל־וועבזײַט.
אויב קליענטן אָפּוואַרפֿן דעם HTTPS־פּראַקסי פֿאַר זיי דערגרייכן אַ וועבזײַט, פֿאָרשט דעם קייט וואָס דער פּראַקסי־צוהערער שיקט. אַ גילטיקער בלאַט־צערטיפֿיקאַט אַליין פֿאַרזאָרגט מעגלעך נישט די צווישנצערטיפֿיקאַטן וואָס דער קליענט דאַרף.
- באַשטימט דעם געפּרוופֿטן ענדפּונקט. לייענט דעם האָסט־נאָמען אין דער קאָנפיגורירטער פּראַקסי־URL און דעם פֿעלער פֿאַר יענער פֿאַרבינדונג. דער צערטיפֿיקאַט פֿונעם צוהערער מוז דעקן יענעם נאָמען. אַ וועבזײַט־צערטיפֿיקאַט אָדער אַ צערטיפֿיקאַט פֿאַר אַן אַנדער IP־צונאָמען קען אים נישט פֿאַרבײַטן.
- פּרוופֿט די קייט־קאָנפיגוראַציע פֿונעם צוהערער. די פֿון Squid געשטיצטע OpenSSL־קאָנפיגוראַציע קען אַרײַננעמען צווישנצערטיפֿיקאַטן אין דער צערטיפֿיקאַט־טעקע. באַשטעטיקט די אָרדענונג אין דער צוהערער־רעפֿערענץ פֿאַר דער אינסטאַלירטער Squid־ווערסיע און TLS backend; דאָס פֿאַרהאַלטן פֿון פּאַקעטן איז נישט איינהייטלעך. דאָס TLS־צוהערער־בײַשפּיל פֿון Squid 6.13 האַלט דאָס צוטרוי פֿונעם צוהערער באַזונדער פֿונעם TLS פֿון דער ציל.
- פּרוופֿט דאָס קליענט־צוטרוי באַזונדער. שיקן צווישנצערטיפֿיקאַטן העלפֿט בויען דעם קייט, אָבער דער קליענט דאַרף נאָך אַלץ דעם פֿאָרגעזעענעם וואָרצל־צוטרוי־אַנקער. אַרײַנפֿירן דעם גאַנצן סערווער־קייט אין אַ וואָרצל־קראָם אָן אויסקלייִב איז אַן אַנדער ענדערונג ווי פֿאַרריכטן וואָס דער סערווער שיקט.
לאָזט די וועריפֿיקאַציע אָנגעצונדן. זי באַשטימט דעם HTTPS־פּראַקסי וואָס דער קליענט האָט געמיינט צו נוצן. נאָך דעם וואָס יענער פֿאַרבינדונג איז וועריפֿיצירט, געהערט אַ שפּעטערדיקער וועבזײַט־צערטיפֿיקאַט־פֿעלער צו דער ציל־TLS־זיצונג דורך דעם פּראַקסי, מיט זײַן אייגענער פֿאָרשונג פֿון האָסט־נאָמען און צוטרוי.