HTTPS прокси эки TLS байланышын билдирет, бирөөнү эмес
Прокси секирик жана веб-сайт өзүнчө ишеним менен өзүнчө TLS мамилелери. Каалаган сертификат параметрин өзгөртүүдөн мурун кайсы чети ийгиликсиз болгонун окуңуз.
HTTPS прокси белгиси кардар менен проксинин ортосундагы транспортту гана сүрөттөйт, андан башка эч нерсе эмес. Ал артындагы веб-сайт ошол эле байланыш менен шифрленгенин да, прокси баракты окуй аларын да айтпайды. Эки байланышты бөлгөндөн кийин сертификат каталары сырдуу болууну токтотот жана VPN менен салыштыруу конкреттүү болот.
Эки чет жубу, эки текшерүү
Кадимки туннель режиминде эки TLS мамилеси бар. Биринчиси кардардан проксиге барып, проксини аутентификациялайт. Экинчиси кардардан туннелдин ичиндеги веб-сайтка барып, веб-сайтты аутентификациялайт. Алар көз карандысыз ийгиликсиз болот жана көз карандысыз конфигурацияланат.
Алардын өзүнчө ишеним чечимдери, өзүнчө сертификат чынжырлары жана өзүнчө ката билдирүүлөрү бар. Уюмдук CA колдонгон прокси жана жалпы чынжыр колдонгон жалпы веб-сайт мыйзамдуу түрдө башка текшерүү конфигурациясын талап кылышы мүмкүн, жана бул туура эмес конфигурация эмес.
Аларды кокустан бир сокетти бөлүшкөн эки байланыш катары караңыз, анткени алар так ошондой.
CONNECT чындыгында эмнени туннелдейт
Кардар хост менен портту көрсөтүп CONNECT сурамын жөнөтөт, прокси ошол максатка TCP байланышын ачат. Прокси жооп бергенден кийин кийинки байттар интерпретациясыз өткөрүлөт, ошондуктан веб-сайттын TLS кол алышуусу прокси аркылуу өзгөрүүсүз өтөт. Ошентип прокси багыттоо атын жана байланыш метаберилиштерин билет, бирок бул жайгаштыруудан шифры ачылган барактарды албайт.
Бул айырма туннель режиминин бүткүл коопсуздук далили, жана ал анын чеги да.
Прокси секиринде TLS жок HTTP прокси баары бир CONNECT аркылуу HTTPS веб-сайтын ташыйт. Кардар менен проксинин ортосундагы алмашуу ачык, ал эми веб-сайт байланышы андай эмес, жана баарын HTTPS прокси деп атоо ушул айырманы жашырат.
Кайсы сертификат ийгиликсиз болду
Текшерүү ийгиликсиз болгондо, каалаган ишеним параметрин өзгөртүүдөн мурун катада аталган чети окуңуз. Эки ийгиликсиздик терминалда окшош көрүнөт жана такыр башка түзөтүүлөрдү көрсөтөт, ошондуктан биринчи суроо ар дайым кайсы байланыш баш тартты.
curl опцияларды так ушул себептен бөлөт. Проксинин CA файлы проксини текшерүүнү конфигурациялайт, ал эми CA файлы серверди текшерүүнү конфигурациялайт, жана колдонулуучу ишеним кампасынын жүрүм-туруму да curl кантип курулганына байланыштуу.
curl -v --proxy https://proxy.example.net:443 \
--proxy-cacert org-ca.pem --cacert public-ca.pem https://www.example.com/Текшерүүнү басуу оңдоо эмес. Ал эки четинин эч бири жөнүндө эч нерсени далилдебейт.
Инспекция башка жайгаштыруу
TLS инспекциясы туннелдөө эмес. Текшерүүчү ортомчу веб-сайтка карай ишеним мамилесин токтотот жана кардарга өзүнүн сертификатын сунуштайт, ошондуктан кардар сайтты эмес, ортомчуну текшерет. Бул бекитилген долбоордун алкагында мыйзамдуу болушу мүмкүн, жана бул байт-байт өткөрүүдөн олуттуу башка ырастоо. Ар бир прокси инспекция жасайт деп ойлобоңуз, жана шифрленген прокси секириги муну жокко чыгарат деп да ойлобоңуз.
Ишеним кампаңыздагы уюмдук CA кайсы жайгаштырууда экениңиздин белгиси, далил эмес. Сертификат чынжырынан божомолдоонун ордуна долбоорду сураңыз.
Бул эки жайгаштыруу баракты ким окуй алат деген суроого башкача жооп берет.
Прокси менен VPNди бирдей төрт сапта салыштырыңыз
Салыштыруу эки жайгаштыруу тең бирдей сүрөттөлгөндө гана пайдалуу болот.
| Line | What to state |
|---|---|
| Protected segments | Which hops are encrypted, and between which endpoints |
| Verified identities | What each end proves, and against which trust anchor |
| Trusted intermediaries | Who can read or alter traffic by design |
| Traffic included | Which processes and destinations the policy actually covers |
Бир сурамга конфигурацияланган прокси ошол сурамды камтыйт. Ал түзмөктөгү ар бир процессти өзүнөн өткөрбөйт, жана мисалдагы буйрук так ошончолук тар. VPNдин камтуусу анын маршруттоосуна жана колдонмо саясатына байланыштуу, аларды да божомолдоонун ордуна текшерүү керек. Эки варианттын бири да жөн гана орнотулганы үчүн баарын камтый албайт.
Ар бир вариант үчүн төрт сапты жазыңыз, талаш адатта өзү чечилет. Пайдалуу салыштыруу кайсы белги шифрленгендей угулаары эмес. Кайсы сегменттер корголгону, алардын четтеринде ким текшерилери, кайсы ортомчуларга ишенесиз жана саясат чындыгында кайсы трафикти камтыйт.