וועלכע זייט פונעם אונטערזוכונג־פראקסי האט אפגעווארפן דעם צערטיפיקאט?

דער קליענט פֿאַרטרויט דעם באַשטעטיקטן אונטערזוכונג־פּראָקסי. די בקשה פֿאַלט נאָך דורך אַ צערטיפיקאַט־פֿעלער. ביידע זאַכן קענען זיין אמת: יענער פּראָקסי האָט נאָך אַ TLS־באַציִונג צו באַשטעטיקן.

client -- TLS to approved intermediary -- proxy -- TLS to website -- destination

ביי אַן איבערכאַפּונג ענדיקט דער מיטלמאַן דעם TLS פֿונעם קליענט און בויט זיין אייגענע פֿאַרבינדונג ווײַטער. דער קליענט קען אָננעמען דעם צערטיפיקאַט וואָס ווערט פֿאָרגעלייגט אויף זיין זייט, בשעת דער פּראָקסי וואַרפֿט אָפּ דעם צערטיפיקאַט וואָס ער באַקומט פֿונעם וועבזייטל.

לייענט דעם פֿעלער פֿונעם באַשטעטיקער

באַשטימט וועלכער פּראָצעס האָט געמאָלדן די דורכגעפֿאַלענע קייט אָדער האָסטנאָמען. אַ פֿעלער־זייט וואָס דער פּראָקסי שאַפֿט קען דערגרייכן דעם קליענט מיט הצלחה דורך אַ גילטיקער פֿאַרבינדונג. נאָכאַמאָל ענדערן די CA־טעקע פֿונעם קליענט דערהײַנטיקט נישט דעם אויבערשטן צוטרוי־קאָנפֿיגוראציע פֿונעם פּראָקסי.

צום בײַשפּיל, Mitmproxy דאָקומענטירט באַזונדערע אויבערשטע צוטרוי־אָפּציעס, אַרײַנגערעכנט ssl_verify_upstream_trusted_ca. דער צוגעפּאַסטער אַדמיניסטראַטאָר קען קאָנפֿיגורירן באַשטעטיקט צוטרוי פֿאַר דער אויבערשטער דינסט בשעת ער האַלט די באַשטעטיקונג. אַן אַנדער פּראָקסי־פּראָדוקט דאַרף זיין צוגעפּאַסטער צווישנפֿלאַך.

פּריפֿט אויך דעם טאַקע ציל־נאָמען און די קייט. אַ פּריוואַטע דינסט אָן אַ מיטלער צערטיפיקאַט, אַן אָפּגעלאָפֿענער צערטיפיקאַט און אַן אומבאַקאַנטער פּריוואַטער אַרויסגעבער פֿאָדערן פֿאַרשידענע פֿאַרריכטונגען. אַ געמיינטע אויסנאַם פֿאַר איין פּריוואַטע דינסט זאָל נישט שטיל ווערן אַ וועלטלעכע אָננעמעריי פֿון יעדן צערטיפיקאַט.

אַ פּשוטער CONNECT־טונעל איז אַנדערש

אַן אומדורכזיכטיקער ווײַטערפֿיר־טונעל צעטיילט נישט דעם ציל־TLS אויף דעם אופֿן. געוויינלעך פֿאַרהאַנדלט און באַשטעטיקט די אַפּליקאַציע אַליין יענער עק־צו־עק TLS־זיצונג. באַשטימט קודם צי די איבערכאַפּונג איז טאַקע אַ טייל פֿונעם וועג, אַנשטאָט אָנווענדן אונטערזוכונג־פּראָקסי איינשטעלונגען אויף יעדן מיטלמאַן.

פֿאַרשרייַבט די צוויי באַשטעטיקונג־רעזולטאַטן באַזונדער. „דער פּראָקסי־צערטיפיקאַט איז פֿאַרטרויט“ ענטפֿערט די פֿראַגע פֿון דער קליענט־זייט; עס באַשטעטיקט נישט וואָס דער פּראָקסי האָט געזען ווען ער האָט זיך פֿאַרבונדן אויבן.