Ένα proxy HTTPS σημαίνει δύο συνδέσεις TLS, όχι μία

Η ετικέτα proxy HTTPS περιγράφει μόνο τη μεταφορά ανάμεσα στον πελάτη σας και το proxy, και τίποτα παραπάνω. Δεν λέει ότι ο ιστότοπος πίσω του κρυπτογραφείται από την ίδια σύνδεση, ούτε λέει ότι το proxy μπορεί να διαβάσει τη σελίδα. Μόλις διαχωρίσετε τις δύο συνδέσεις, τα σφάλματα πιστοποιητικών παύουν να είναι μυστηριώδη και η σύγκριση με ένα VPN γίνεται συγκεκριμένη.

Δύο ζεύγη άκρων, δύο επαληθεύσεις

Στη συνήθη λειτουργία σήραγγας υπάρχουν δύο σχέσεις TLS. Η πρώτη τρέχει από τον πελάτη σας προς το proxy και πιστοποιεί το proxy. Η δεύτερη τρέχει από τον πελάτη σας προς τον ιστότοπο μέσα στη σήραγγα και πιστοποιεί τον ιστότοπο. Αποτυγχάνουν ανεξάρτητα και ρυθμίζονται ανεξάρτητα.

Έχουν ξεχωριστές αποφάσεις εμπιστοσύνης, ξεχωριστές αλυσίδες πιστοποιητικών και ξεχωριστά μηνύματα αποτυχίας. Ένα proxy που χρησιμοποιεί οργανωτική CA και ένας δημόσιος ιστότοπος που χρησιμοποιεί δημόσια αλυσίδα μπορεί εύλογα να χρειάζονται διαφορετική διαμόρφωση επαλήθευσης, και αυτό δεν είναι λανθασμένη διαμόρφωση.

Αντιμετωπίστε τα ως δύο συνδέσεις που τυχαίνει να μοιράζονται ένα socket, γιατί αυτό ακριβώς είναι.

Τι πραγματικά σηραγγοποιεί το CONNECT

Ο πελάτης στέλνει αίτημα CONNECT με το όνομα κεντρικού υπολογιστή και τη θύρα, και το proxy ανοίγει σύνδεση TCP προς αυτόν τον στόχο. Αφού απαντήσει το proxy, τα επόμενα byte αναμεταδίδονται χωρίς ερμηνεία, γι' αυτό η χειραψία TLS του ιστότοπου περνά από το proxy ανέπαφη. Έτσι το proxy μαθαίνει το όνομα προορισμού και τα μεταδεδομένα της σύνδεσης, αλλά δεν λαμβάνει αποκρυπτογραφημένες σελίδες από αυτή τη διάταξη.

Αυτή η διάκριση είναι όλο το επιχείρημα ασφάλειας για τη λειτουργία σήραγγας, και είναι επίσης το όριό της.

Ένα proxy HTTP χωρίς TLS στο άλμα proxy εξακολουθεί να μεταφέρει έναν ιστότοπο HTTPS μέσω CONNECT. Η ανταλλαγή πελάτη-proxy γίνεται σε ανοιχτή μορφή ενώ η σύνδεση με τον ιστότοπο όχι, και το να ονομάζουμε το σύνολο proxy HTTPS κρύβει αυτή τη διαφορά.

Ποιο πιστοποιητικό απέτυχε

Όταν η επαλήθευση αποτύχει, διαβάστε το άκρο που αναφέρεται στο σφάλμα πριν αλλάξετε οποιαδήποτε ρύθμιση εμπιστοσύνης. Οι δύο αποτυχίες μοιάζουν στο τερματικό και οδηγούν σε εντελώς διαφορετικές διορθώσεις, γι' αυτό η πρώτη ερώτηση είναι πάντα ποια σύνδεση αρνήθηκε.

Το curl χωρίζει τις επιλογές ακριβώς για αυτόν τον λόγο. Το αρχείο CA του proxy ρυθμίζει την επαλήθευση του proxy, ενώ το αρχείο CA ρυθμίζει την επαλήθευση του διακομιστή, και η συμπεριφορά του ισχύοντος χώρου αποθήκευσης εμπιστοσύνης εξαρτάται επίσης από το πώς χτίστηκε το curl.

curl -v --proxy https://proxy.example.net:443 \
  --proxy-cacert org-ca.pem --cacert public-ca.pem https://www.example.com/

Η καταστολή ενός ελέγχου δεν είναι επισκευή. Δεν αποδεικνύει τίποτα για κανένα από τα δύο άκρα.

Η επιθεώρηση είναι διαφορετική διάταξη

Η επιθεώρηση TLS δεν είναι σηραγγοποίηση. Ένας μεσολαβητής επιθεώρησης τερματίζει τη σχέση εμπιστοσύνης προς τον ιστότοπο και παρουσιάζει το δικό του πιστοποιητικό στον πελάτη, οπότε ο πελάτης επαληθεύει τον μεσολαβητή και όχι τον ιστότοπο. Αυτό μπορεί να είναι νόμιμο στο πλαίσιο εγκεκριμένου σχεδιασμού, και είναι ουσιαστικά διαφορετικός ισχυρισμός από την αναμετάδοση byte προς byte. Μην υποθέτετε ότι κάθε proxy επιθεωρεί, και μην υποθέτετε ότι ένα κρυπτογραφημένο άλμα proxy το αποκλείει.

Μια οργανωτική CA στον χώρο εμπιστοσύνης σας είναι ένδειξη για το σε ποια διάταξη βρίσκεστε, όχι απόδειξη. Ζητήστε τον σχεδιασμό αντί να τον συμπεράνετε από μια αλυσίδα πιστοποιητικών.

Αυτές οι δύο διατάξεις δίνουν διαφορετικές απαντήσεις στο ερώτημα ποιος μπορεί να διαβάσει τη σελίδα.

Συγκρίνετε proxy και VPN στις ίδιες τέσσερις γραμμές

Η σύγκριση γίνεται χρήσιμη μόνο όταν και οι δύο αναπτύξεις περιγράφονται με τον ίδιο τρόπο.

Ένα proxy ρυθμισμένο για ένα αίτημα καλύπτει αυτό το αίτημα. Δεν διοχετεύει κάθε διεργασία της συσκευής μέσα από τον εαυτό του, και η εντολή του παραδείγματος είναι ακριβώς τόσο στενή. Η κάλυψη ενός VPN εξαρτάται από τη δρομολόγηση και την πολιτική εφαρμογών του, που επίσης πρέπει να ελεγχθούν αντί να υποτεθούν. Καμία από τις δύο επιλογές δεν καλύπτει τα πάντα μόνο επειδή εγκαταστάθηκε.

Γράψτε τις τέσσερις γραμμές για κάθε επιλογή και το επιχείρημα συνήθως λύνεται μόνο του. Η χρήσιμη σύγκριση δεν είναι ποια ετικέτα ακούγεται πιο κρυπτογραφημένη. Είναι ποια τμήματα προστατεύονται, ποιος επαληθεύεται στα άκρα τους, σε ποιους μεσολαβητές βασίζεστε και ποια κίνηση περιλαμβάνει πραγματικά η πολιτική.