HTTPS-välityspalvelin tarkoittaa kahta TLS-yhteyttä, ei yhtä

HTTPS-välityspalvelin-nimike kuvaa vain liikennettä asiakkaasi ja välityspalvelimen välillä, ei mitään muuta. Se ei kerro, että sen takana oleva verkkosivusto salataan samalla yhteydellä, eikä se kerro, että välityspalvelin voi lukea sivun. Kun erotat kaksi yhteyttä toisistaan, varmennevirheet lakkaavat olemasta arvoituksellisia ja vertailu VPN:ään muuttuu konkreettiseksi.

Kaksi päätepisteparia, kaksi varmennusta

Tavallisessa tunnelitilassa on kaksi TLS-suhdetta. Ensimmäinen kulkee asiakkaastasi välityspalvelimelle ja todentaa välityspalvelimen. Toinen kulkee asiakkaastasi tunnelin sisällä olevaan verkkosivustoon ja todentaa verkkosivuston. Ne epäonnistuvat toisistaan riippumatta ja ne määritetään toisistaan riippumatta.

Niillä on erilliset luottamuspäätökset, erilliset varmenneketjut ja erilliset virheilmoitukset. Organisaation CA:ta käyttävä välityspalvelin ja julkista ketjua käyttävä julkinen verkkosivusto voivat laillisesti tarvita erilaisen varmennusasetuksen, eikä se ole väärä asetus.

Kohtele niitä kahtena yhteytenä, jotka sattuvat jakamaan yhden pistokkeen, koska sitä ne ovat.

Mitä CONNECT itse asiassa tunneloi

Asiakas lähettää CONNECT-pyynnön, jossa nimeää isäntäkoneen ja portin, ja välityspalvelin avaa TCP-yhteyden kyseiseen kohteeseen. Kun välityspalvelin on vastannut, seuraavat tavut välitetään ilman tulkintaa, minkä vuoksi verkkosivuston TLS-kättely kulkee välityspalvelimen läpi muuttumattomana. Näin välityspalvelin oppii kohdenimen ja yhteyden metatiedot, mutta ei saa tästä järjestelystä purettuja sivuja.

Tämä ero on koko tunnelitilan turvallisuusargumentti, ja se on myös sen raja.

HTTP-välityspalvelin ilman TLS:ää välityspalvelimen hypyllä kuljettaa silti HTTPS-verkkosivustoa CONNECTin kautta. Asiakkaan ja välityspalvelimen välinen vaihto on selkokielinen, mutta verkkosivuston yhteys ei, ja koko asian kutsuminen HTTPS-välityspalvelimeksi piilottaa tämän eron.

Mikä varmenne epäonnistui

Kun varmennus epäonnistuu, lue virheessä nimetty päätepiste ennen kuin muutat mitään luottamusasetusta. Kaksi epäonnistumista näyttävät päätteessä samanlaisilta ja osoittavat täysin erilaisiin korjauksiin, siksi ensimmäinen kysymys on aina, mikä yhteys kieltäytyi.

curl erottaa asetukset juuri tästä syystä. Välityspalvelimen CA-tiedosto määrittää välityspalvelimen varmennuksen, kun taas CA-tiedosto määrittää palvelimen varmennuksen, ja sovellettavan luottamussäilön käyttäytyminen riippuu myös siitä, miten curl on koottu.

curl -v --proxy https://proxy.example.net:443 \
  --proxy-cacert org-ca.pem --cacert public-ca.pem https://www.example.com/

Tarkistuksen vaimentaminen ei ole korjaus. Se ei todista mitään kummastakaan päätepisteestä.

Tarkastus on erilainen järjestely

TLS-tarkastus ei ole tunnelointia. Tarkastava välittäjä päättää verkkosivustoon päin olevan luottamussuhteen ja esittää asiakkaalle oman varmenteensa, joten asiakas varmentaa välittäjän eikä sivustoa. Tämä voi olla laillista hyväksytyssä suunnittelussa, ja se on olennaisesti erilainen väite kuin tavu tavulta välittäminen. Älä oleta, että jokainen välityspalvelin tarkastaa, äläkä oleta, että salattu välityspalvelinhyppy sulkee sen pois.

Organisaation CA luottamussäilössäsi on vihje siitä, missä järjestelyssä olet, ei todiste. Kysy suunnittelua sen sijaan, että päättelet sen varmenneketjusta.

Nämä kaksi järjestelyä antavat erilaisia vastauksia kysymykseen siitä, kuka voi lukea sivun.

Vertaa välityspalvelinta ja VPN:ää samoilla neljällä rivillä

Vertailusta tulee hyödyllinen vasta, kun molemmat käyttöönotot kuvataan samalla tavalla.

Yhdelle pyynnölle määritetty välityspalvelin kattaa kyseisen pyynnön. Se ei lähetä laitteen jokaista prosessia kauttaan, ja esimerkkikomento on juuri niin kapea. VPN:n kattavuus riippuu sen reitityksestä ja sovelluskäytännöstä, jotka myös on tarkastettava eikä oletettava. Kumpikaan vaihtoehto ei kata kaikkea vain siksi, että se asennettiin.

Kirjoita neljä riviä kullekin vaihtoehdolle ja väittely ratkeaa yleensä itsestään. Hyödyllinen vertailu ei ole se, mikä nimike kuulostaa salatummalta. Vaan se, mitkä segmentit on suojattu, ketkä varmennetaan niiden päissä, keihin välittäjiin luotat ja mitä liikennettä käytäntö todella kattaa.