HTTPS proxy batek bi TLS konexio esan nahi ditu, bat ez
Proxy jauzia eta webgunea TLS harreman bereiziak dira, konfiantza bereiziarekin. Irakurri zein mutur huts egin zuen ziurtagiri ezarpena aldatu aurretik.
HTTPS proxy etiketak zure bezeroaren eta proxyaren arteko garraioa deskribatzen du soilik, eta ez besterik. Ez du esaten atzean dagoen webgunea konexio berberarekin zifratuta dagoenik, ezta proxyak orria irakur dezakeenik ere. Bi konexioak bereizten dituzunean, ziurtagiri erroreak misteriotsu izateari uzten diote eta VPN batekin konparatzea zehatza bihurtzen da.
Bi mutur pare, bi egiaztapen
Ohiko tunel moduan bi TLS harreman daude. Lehena zure bezerotik proxyra doa eta proxyari autentifikazioa egiten dio. Bigarrena zure bezerotik tunelaren barruko webgunera doa eta webguneari autentifikazioa egiten dio. Independenteki huts egiten dute eta independenteki konfiguratzen dira.
Konfiantza erabaki bereiziak, ziurtagiri kate bereiziak eta hutsegite mezu bereiziak dituzte. CA organizatiboa erabiltzen duen proxy batek eta kate publiko bat erabiltzen duen webgune publiko batek legitoki behar dezakete egiaztapen konfigurazio desberdina, eta hori ez da konfigurazio okerra.
Bi konexio gisa hartu, socket bat partekatzen dutenak, horixe baitira.
Zer tunelatzen du CONNECT-ek benetan
Bezeroak CONNECT eskaera bidaltzen du ostalariaren izena eta portua adieraziz, eta proxyak TCP konexio bat irekitzen du helburu horretara. Proxyak erantzun ondoren, hurrengo byteak interpretaziorik gabe birbidaltzen dira, horregatik webgunearen TLS esku-uzketa ukitu gabe igarotzen da proxyaren bidez. Horrela proxyak helmugaren izena eta konexioaren metadatuak ezagutzen ditu, baina ez ditu orri deszifratuak jasotzen konfigurazio horretatik.
Bereizketa hori da tunel moduaren segurtasun argudio osoa, eta aldi berean haren muga.
Proxy jauzian TLSrik gabeko HTTP proxy batek HTTPS webgune bat garraiatzen du oraindik CONNECT bidez. Bezeroaren eta proxyaren arteko trukea argi dago, webgunearen konexioa ez bezala, eta gauza osoari HTTPS proxy deitzeak diferentzia hori ezkutatzen du.
Zein ziurtagirik huts egin zuen
Egiaztapenak huts egiten duenean, irakurri errorean aipatzen den muturra konfiantza ezarpena aldatu aurretik. Bi hutsegiteak antzekoak dira terminalean eta erabat desberdinak diren konponketak seinalatzen dituzte, horregatik lehen galdera beti da zein konexiok uko egin zion.
curl-ek aukerak bereizten ditu arrazoi zehatz honengatik. Proxyaren CA fitxategiak proxyaren egiaztapena konfiguratzen du, CA fitxategiak zerbitzariaren egiaztapena konfiguratzen duen bitartean, eta aplikagarria den konfiantza biltegiko portaera curl nola eraiki zen ere badago.
curl -v --proxy https://proxy.example.net:443 \
--proxy-cacert org-ca.pem --cacert public-ca.pem https://www.example.com/Egiaztapen bat ezabatzea ez da konponketa. Ez du ezer frogatzen bi muturretako inori buruz.
Ikuskatzea beste konfigurazio bat da
TLS ikuskatzea ez da tunelatzea. Bitartekari ikuskatzaile batek webgunearekiko konfiantza harremana amaitzen du eta bere ziurtagiria aurkezten dio bezeroari, beraz bezeroak bitartekaria egiaztatzen du, ez webgunea. Hori legitimo izan daiteke diseinu onartu baten pean, eta bytez byte birbidaltzearen aldean erabat desberdina den baieztapena da. Ez suposatu proxy guztiek ikuskatzen dutenik, eta ez suposatu proxy jauzi zifratu batek hori baztertzen duenik.
Zure konfiantza biltegiko CA organizatiboa zein konfiguraziotan zauden adierazten duen arrastoa da, ez froga. Eskatu diseinua ziurtagiri kate batetik ondorioztatu beharrean.
Bi konfigurazio horiek erantzun desberdinak ematen dizkiote nork irakur dezakeen orria galderari.
Konparatu proxy eta VPN lau lerro berberetan
Konparazioa soilik da erabilgarria bi inplementazioak modu berean deskribatzen direnean.
| Line | What to state |
|---|---|
| Protected segments | Which hops are encrypted, and between which endpoints |
| Verified identities | What each end proves, and against which trust anchor |
| Trusted intermediaries | Who can read or alter traffic by design |
| Traffic included | Which processes and destinations the policy actually covers |
Eskaera baterako konfiguratutako proxy batek eskaera hori estaltzen du. Ez du gailuko prozesu guztiak bere bidez pasatzen, eta adibideko komandoa hain da estua. VPN baten estaldura bere bideratzearen eta aplikazio politikan oinarritzen da, eta horiek ere ikuskatu behar dira, ez suposatu. Bi aukeretako batek ere ez du dena estaltzen instalatuta egoteagatik soilik.
Idatzi lau lerroak aukera bakoitzerako eta argudioa normalean bere kabuz konpontzen da. Konparazio erabilgarria ez da zein etiketa entzuten den zifratuago. Baizik eta zein segmentu dauden babestuta, nor egiaztatzen den haien muturretan, zein bitartekarirengan konfiantza duzun eta politikak benetan zein trafiko barne hartzen duen.