Cache hannert engem VPN: wat HTTPS nach ëmmer verstoppt

En Cache nieft dem VPN-Server kléngt wéi gratis Bandbreet fir all déi hannert dem Tunnel. Et ass net, well d'Bytes, déi duerch dee Punkt ginn, nach ëmmer vun enger TLS-Sessioun geschützt sinn, där hir Enner de Browser an d'Websäit sinn. Den VPN-Gateway hëlt just seng eege baussenzeg Verschlësselung ewech, net déi vun der Applikatioun. Entscheet, wéi en Objet Dir wëllt erëmbenotzen, ier Dir Hardware derbäisetzt.

D'TLS-Sessioun gehéiert dem Browser

Am gewéinlechen HTTPS verhandelt de Browser Schlësselen mat der Säit, an all Record no der Handlung gëtt fir dee Paar Enner verschlësselt. En VPN-Gateway decryptéiert den Tunnel, deen hien opgebaut huet, a leet duerno onkloer TLS-Recorde weider. Hie gesäit Destinatiounen, Zäitpunkt a Volumen, net d'Ufrozeil oder de Kierper vun der Äntwert. Dat ass d'Grenz, mat där all Cache muss liewen.

All Design, deen déi bricht, ass en TLS-Interceptiounsdesign, mat sengen eegenen Konsequenzen fir Zertifikatsvertrauen a Gerätemanagement.

CONNECT ass en Tunnel, keen Cache

En explizite Forward-Proxy kritt meeschtens eng HTTP CONNECT-Ufro an iwwerleet duerno Bytes a béid Richtungen. Iwwerleeung ass dat Schlësselwuert: de Proxy analyséiert d'verschlësselte Gespréich net.

curl -sSI -x http://proxy.example:3128 https://example.com/

D'Äntwertsheader kommen aus dem Ëmgang vum Proxy mat dem Tunnel, net aus enger gecachter Kopie vun der Säit. En erfollegräiche CONNECT heescht, datt de Wee funktionéiert, net datt eppes fir d'Erëmbenotzung gespäichert gouf. De Port 443 op en Cache weisen léiert et och net TLS ze schwätzen, well Cache liesbar Messagë brauch. D'Clientkonfiguratioun muss déi ënnerstëtzt explizit Proxyastellung benotzen an net eng onerkläert Ëmleitung.

Cachet, wat Dir bedreift, net wat Dir browst

Wou den Inhalt Ären ass, kann en Reverse-Proxy TLS ofschléissen a genehmgt Äntwerten bewosst späicheren. Wou en zu engem Package-Repository gehéiert, benotzt de Spigel, deen de Projet ënnerstëtzt.

nginx -T | grep -n "proxy_cache"
curl -sSI https://mirror.example/pkg/index.json | grep -i -E "cache-control|age"

Den éischte Befehl weist, ob eng Cachezon konfiguréiert ass a wou se gëllt, deen zweeten weist d'eegen Caching-Direktiven vum Urspronk fir en Objet. En gedeelte Cache muss Fräschheet, Cachekontrollen an déi Ufroeattributer respektéieren, déi Representatiounen ënnerscheeden; private an no-store bedeiten ënnerschiddlech Saachen an keen vun deenen zwee soll ewechgeholl ginn, fir d'Trefferquot ze hiewen. HTTP-Cacheregelen aschreiwen och d'Späichere vun Äntwerten op authentifizéiert Ufroen, an genau do gëtt eng personaliséiert Säit zu enger Datenexpositioun. Halt de Proxy op genehmgt Clients beschränkt, amplaz en oppene Relay ze bidden.

Misst den Treffer, net d'Stoppauer

Eng méi séier zweet Ufro beweist net, datt den neie Cache eppes gemaach huet, well Browser a Betribssystemer selbst aggressiv cachen. Frot de Proxy no Treffer- a Feelerzähler a beobacht den Ursprongsverkéier wärend enger kontrolléierter Widderhuelung. Benotzt een widderhuelten Download vun engem bekannten Objet, fir d'éischt mam Cache un an duerno ëmgaang, a vergläicht d'Bytes, déi den Urspronk geliwwert huet, amplaz vun der vergaanger Zäit. Da kontrolléiert d'Autorisatiounsgrenz: eng Ressource, déi e Login brauch, däerf keen anere Client kréien.

Notéiert d'Aarbecht, de Cache-Schlëssel an d'Politik, déi d'Erëmbenotzung erlaabt huet. En Cache ass eng Entscheedung iwwer Datendeelung am Optiméierungskostüm.