HTTPS პროქსი ნიშნავს ორ TLS კავშირს და არა ერთს
პროქსის ნახტომი და ვებსაიტი ცალკეული TLS ურთიერთობებია ცალკეული ნდობით. წაიკითხეთ რომელი ბოლო წერტილი ჩავარდა, სანამ სერტიფიკატის რომელიმე პარამეტრს შეცვლით.
წარწერა HTTPS პროქსი აღწერს მხოლოდ ტრანსპორტს თქვენს კლიენტსა და პროქსის შორის და მეტს არაფერს. ის არ ამბობს, რომ მის უკან მდგარი ვებსაიტი იმავე კავშირით არის დაშიფრული, და არც ამბობს, რომ პროქსის შეუძლია გვერდის წაკითხვა. როგორც კი ორ კავშირს ერთმანეთისგან გაყოფთ, სერტიფიკატის შეცდომები წყვეტს იდუმალ ყოფნას და VPN-თან შედარება ხილული ხდება.
ორი წყვილი ბოლო წერტილი, ორი შემოწმება
ჩვეულებრივ გვირაბის რეჟიმში ორი TLS ურთიერთობაა. პირველი გადის თქვენი კლიენტიდან პროქსისკენ და ადასტურებს პროქსის. მეორე გადის თქვენი კლიენტიდან გვირაბის შიგნით მდებარე ვებსაიტისკენ და ადასტურებს ვებსაიტს. ისინი დამოუკიდებლად ვარდება და დამოუკიდებლად კონფიგურირდება.
მათ აქვთ ცალკეული ნდობის გადაწყვეტილებები, ცალკეული სერტიფიკატის ჯაჭვები და ცალკეული წარუმატებლობის შეტყობინებები. ორგანიზაციული CA-ს მქონე პროქსის და საჯარო ჯაჭვის მქონე საჯარო ვებსაიტს შეიძლება ლეგიტიმურად დასჭირდეს განსხვავებული შემოწმების კონფიგურაცია და ეს არ არის არასწორი კონფიგურაცია.
მოექეცით მათ როგორც ორ კავშირს, რომლებიც შემთხვევით იზიარებენ ერთ სოკეტს, რადგან სწორედ ასეა.
რას გვირაბავს CONNECT სინამდვილეში
კლიენტი აგზავნის CONNECT მოთხოვნას ჰოსტისა და პორტის მითითებით, და პროქსი ხსნის TCP კავშირს ამ მიზნისკენ. მას შემდეგ, რაც პროქსი უპასუხებს, შემდგომი ბაიტები გადაეცემა ინტერპრეტაციის გარეშე, ამიტომ ვებსაიტის TLS ხელის ჩამორთმევა უცვლელად გადის პროქსიში. ასე რომ, პროქსი იგებს დანიშნულების სახელს და კავშირის მეტამონაცემებს, მაგრამ ამ განლაგებიდან გაშიფრულ გვერდებს არ იღებს.
ეს განსხვავება არის გვირაბის რეჟიმის მთელი უსაფრთხოების არგუმენტი და ამავდროულად მისი ზღვარი.
HTTP პროქსი TLS-ის გარეშე პროქსის ნახტომზე მაინც ატარებს HTTPS ვებსაიტს CONNECT-ის მეშვეობით. კლიენტ-პროქსის გაცვლა ღიაა, ხოლო ვებსაიტის კავშირი არა, და მთელი ამის HTTPS პროქსად წოდება ამ განსხვავებას მალავს.
რომელი სერტიფიკატი ჩავარდა
როდესაც შემოწმება ვარდება, წაიკითხეთ შეცდომაში დასახელებული ბოლო წერტილი, სანამ ნდობის რომელიმე პარამეტრს შეცვლით. ორი წარუმატებლობა ტერმინალში ერთნაირად გამოიყურება და სრულიად განსხვავებულ შესწორებებზე მიუთითებს, ამიტომ პირველი კითხვა ყოველთვის არის, რომელი კავშირი უარყო.
curl აშორებს ოფციებს სწორედ ამ მიზეზის გამო. პროქსის CA ფაილი აკონფიგურირებს პროქსის შემოწმებას, ხოლო CA ფაილი აკონფიგურირებს სერვერის შემოწმებას, და მოქმედი ნდობის საცავის ქცევაც დამოკიდებულია იმაზე, თუ როგორ არის curl აწყობილი.
curl -v --proxy https://proxy.example.net:443 \
--proxy-cacert org-ca.pem --cacert public-ca.pem https://www.example.com/შემოწმების ჩახშობა შეკეთება არ არის. ის არაფერს ამტკიცებს არც ერთი ბოლო წერტილის შესახებ.
ინსპექცია სხვა განლაგებაა
TLS ინსპექცია გვირაბიზაცია არ არის. ინსპექტირებადი შუამავალი წყვეტს ვებსაიტის მიმართ ნდობის ურთიერთობას და კლიენტს წარუდგენს საკუთარ სერტიფიკატს, ამიტომ კლიენტი ამოწმებს შუამავალს და არა საიტს. ეს შეიძლება ლეგიტიმური იყოს დამტკიცებული დიზაინის პირობებში და ეს არსებითად განსხვავებული მტკიცებაა, ვიდრე ბაიტ-ბაიტ გადაცემა. ნუ ჩათვლით, რომ ყველა პროქსი ინსპექტირებს, და ნუ ჩათვლით, რომ დაშიფრული პროქსის ნახტომი ამას გამორიცხავს.
ორგანიზაციული CA თქვენს ნდობის საცავში მინიშნებაა იმისა, რომელ განლაგებაში ხართ, და არა მტკიცებულება. ჰკითხეთ დიზაინს, ნაცვლად იმისა, რომ ის სერტიფიკატის ჯაჭვიდან გამოიტანოთ.
ეს ორი განლაგება განსხვავებულ პასუხს იძლევა კითხვაზე, ვის შეუძლია გვერდის წაკითხვა.
შეადარეთ პროქსი და VPN იმავე ოთხ სტრიქონზე
შედარება სასარგებლო ხდება მხოლოდ მაშინ, როცა ორივე განლაგება ერთნაირად არის აღწერილი.
| Line | What to state |
|---|---|
| Protected segments | Which hops are encrypted, and between which endpoints |
| Verified identities | What each end proves, and against which trust anchor |
| Trusted intermediaries | Who can read or alter traffic by design |
| Traffic included | Which processes and destinations the policy actually covers |
ერთი მოთხოვნისთვის კონფიგურირებული პროქსი ფარავს სწორედ ამ მოთხოვნას. ის მოწყობილობის ყველა პროცესს თავის გავლით არ ატარებს და მაგალითის ბრძანება ზუსტად ამდენად ვიწროა. VPN-ის დაფარვა დამოკიდებულია მის მარშრუტიზაციასა და აპლიკაციების პოლიტიკაზე, რომლებიც ასევე უნდა შემოწმდეს და არა ჩაითვალოს. არც ერთი ვარიანტი არ ფარავს ყველაფერს მხოლოდ იმიტომ, რომ დაინსტალირდა.
დაწერეთ ოთხი სტრიქონი თითოეული ვარიანტისთვის და კამათი ჩვეულებრივ თავისით წყდება. სასარგებლო შედარება არ არის ის, თუ რომელი წარწერა უფრო დაშიფრულად ჟღერს. არამედ ის, რომელი სეგმენტებია დაცული, ვინ მოწმდება მათ ბოლოებში, რომელ შუამავლებს ენდობით და რა ტრაფიკს მოიცავს პოლიტიკა სინამდვილეში.