HTTPS പ്രോക്സി എന്നാൽ ഒന്നല്ല, രണ്ട് TLS കണക്ഷനുകൾ
പ്രോക്സി ഹോപ്പും വെബ്സൈറ്റും വെവ്വേറെ TLS ബന്ധങ്ങളാണ്, വെവ്വേറെ വിശ്വാസത്തോടെ। ഏതെങ്കിലും സർട്ടിഫിക്കറ്റ് ക്രമീകരണം മാറ്റുന്നതിന് മുമ്പ് ഏത് അറ്റമാണ് പരാജയപ്പെട്ടതെന്ന് വായിക്കുക।
HTTPS പ്രോക്സി എന്ന ലേബൽ നിങ്ങളുടെ ക്ലയന്റും പ്രോക്സിയും തമ്മിലുള്ള ഗതാഗതം മാത്രം വിവരിക്കുന്നു, അതിൽ കൂടുതലൊന്നുമില്ല। അതിന് പിന്നിലെ വെബ്സൈറ്റ് അതേ കണക്ഷൻ കൊണ്ട് എൻക്രിപ്റ്റ് ചെയ്തിരിക്കുന്നു എന്നും, പ്രോക്സിക്ക് പേജ് വായിക്കാം എന്നും അത് പറയുന്നില്ല। രണ്ട് കണക്ഷനുകളും വേർതിരിച്ചാൽ, സർട്ടിഫിക്കറ്റ് പിശകുകൾ നിഗൂഢമായിരിക്കുന്നത് നിർത്തുന്നു, VPN-മായുള്ള താരതമ്യം വ്യക്തമാകുന്നു।
രണ്ട് അറ്റ ജോടികൾ, രണ്ട് പരിശോധനകൾ
സാധാരണ ടണൽ മോഡിൽ രണ്ട് TLS ബന്ധങ്ങളുണ്ട്। ആദ്യത്തേത് ക്ലയന്റിൽ നിന്ന് പ്രോക്സിയിലേക്ക് പോയി പ്രോക്സിയെ സാക്ഷ്യപ്പെടുത്തുന്നു। രണ്ടാമത്തേത് ക്ലയന്റിൽ നിന്ന് ടണലിനുള്ളിലെ വെബ്സൈറ്റിലേക്ക് പോയി വെബ്സൈറ്റിനെ സാക്ഷ്യപ്പെടുത്തുന്നു। അവ സ്വതന്ത്രമായി പരാജയപ്പെടുന്നു, സ്വതന്ത്രമായി ക്രമീകരിക്കപ്പെടുന്നു।
അവയ്ക്ക് വെവ്വേറെ വിശ്വാസ തീരുമാനങ്ങൾ, വെവ്വേറെ സർട്ടിഫിക്കറ്റ് ശൃംഖലകൾ, വെവ്വേറെ പരാജയ സന്ദേശങ്ങൾ ഉണ്ട്। സംഘടനാ CA ഉപയോഗിക്കുന്ന പ്രോക്സിയും പൊതു ശൃംഖല ഉപയോഗിക്കുന്ന പൊതു വെബ്സൈറ്റും നിയമാനുസൃതമായി വ്യത്യസ്ത പരിശോധനാ ക്രമീകരണം ആവശ്യപ്പെടാം, അത് തെറ്റായ ക്രമീകരണമല്ല।
അവ ഒരേ സോക്കറ്റ് പങ്കിടുന്ന രണ്ട് കണക്ഷനുകളായി കാണുക, കാരണം അവ അങ്ങനെയാണ്।
CONNECT യഥാർത്ഥത്തിൽ എന്താണ് ടണൽ ചെയ്യുന്നത്
ക്ലയന്റ് ഹോസ്റ്റും പോർട്ടും പേരിട്ട് CONNECT അഭ്യർത്ഥന അയയ്ക്കുന്നു, പ്രോക്സി ആ ലക്ഷ്യത്തിലേക്ക് TCP കണക്ഷൻ തുറക്കുന്നു। പ്രോക്സി ഉത്തരം നൽകിയ ശേഷം, തുടർന്നുള്ള ബൈറ്റുകൾ വ്യാഖ്യാനമില്ലാതെ കൈമാറ്റം ചെയ്യപ്പെടുന്നു, അതിനാൽ വെബ്സൈറ്റിന്റെ TLS ഹാൻഡ്ഷേക്ക് പ്രോക്സിയിലൂടെ അസ്പൃശ്യമായി കടന്നുപോകുന്നു। അങ്ങനെ പ്രോക്സി ലക്ഷ്യസ്ഥാനത്തിന്റെ പേരും കണക്ഷൻ മെറ്റാഡാറ്റയും അറിയുന്നു, പക്ഷേ ആ ക്രമീകരണത്തിൽ നിന്ന് ഡീക്രിപ്റ്റ് ചെയ്ത പേജുകൾ ലഭിക്കുന്നില്ല।
ആ വ്യത്യാസമാണ് ടണൽ മോഡിന്റെ മുഴുവൻ സുരക്ഷാ വാദം, അതേ സമയം അതിന്റെ പരിധിയും।
പ്രോക്സി ഹോപ്പിൽ TLS ഇല്ലാത്ത HTTP പ്രോക്സി ഇപ്പോഴും CONNECT വഴി HTTPS വെബ്സൈറ്റ് വഹിക്കുന്നു। ക്ലയന്റ്-പ്രോക്സി കൈമാറ്റം തുറന്നതാണ്, വെബ്സൈറ്റ് കണക്ഷൻ അങ്ങനെയല്ല, ഇത് മുഴുവൻ HTTPS പ്രോക്സി എന്ന് വിളിക്കുന്നത് ആ വ്യത്യാസം മറയ്ക്കുന്നു।
ഏത് സർട്ടിഫിക്കറ്റാണ് പരാജയപ്പെട്ടത്
പരിശോധന പരാജയപ്പെട്ടാൽ, ഏതെങ്കിലും വിശ്വാസ ക്രമീകരണം മാറ്റുന്നതിന് മുമ്പ് പിശകിൽ പേരിട്ട അറ്റം വായിക്കുക। രണ്ട് പരാജയങ്ങളും ടെർമിനലിൽ സമാനമായി കാണപ്പെടുന്നു, പൂർണ്ണമായും വ്യത്യസ്തമായ പരിഹാരങ്ങളിലേക്ക് വിരൽ ചൂണ്ടുന്നു, അതിനാൽ ആദ്യ ചോദ്യം എപ്പോഴും ഏത് കണക്ഷൻ നിരസിച്ചു എന്നതാണ്।
curl ഓപ്ഷനുകൾ വേർതിരിക്കുന്നത് കൃത്യമായി ഈ കാരണത്താലാണ്। പ്രോക്സിയുടെ CA ഫയൽ പ്രോക്സിയുടെ പരിശോധന ക്രമീകരിക്കുന്നു, CA ഫയൽ സെർവറിന്റെ പരിശോധന ക്രമീകരിക്കുന്നു, കൂടാതെ ബാധകമായ ട്രസ്റ്റ് സ്റ്റോറിന്റെ സ്വഭാവവും curl എങ്ങനെ നിർമ്മിച്ചു എന്നതിനെ ആശ്രയിച്ചിരിക്കുന്നു।
curl -v --proxy https://proxy.example.net:443 \
--proxy-cacert org-ca.pem --cacert public-ca.pem https://www.example.com/പരിശോധന അടിച്ചമർത്തുന്നത് അറ്റകുറ്റപ്പണിയല്ല। അത് രണ്ട് അറ്റങ്ങളെക്കുറിച്ചും ഒന്നും തെളിയിക്കുന്നില്ല।
പരിശോധന മറ്റൊരു ക്രമീകരണമാണ്
TLS പരിശോധന ടണലിംഗ് അല്ല। പരിശോധിക്കുന്ന ഇടനിലക്കാരൻ വെബ്സൈറ്റിലേക്കുള്ള വിശ്വാസ ബന്ധം അവസാനിപ്പിച്ച് സ്വന്തം സർട്ടിഫിക്കറ്റ് ക്ലയന്റിന് നൽകുന്നു, അതിനാൽ ക്ലയന്റ് സൈറ്റിനെയല്ല, ഇടനിലക്കാരനെ പരിശോധിക്കുന്നു। അംഗീകൃത രൂപകൽപ്പനയിൽ ഇത് നിയമാനുസൃതമാകാം, ഇത് ബൈറ്റ്-ബൈറ്റ് കൈമാറ്റത്തിൽ നിന്ന് വസ്തുതാപരമായി വ്യത്യസ്തമായ വാദമാണ്। എല്ലാ പ്രോക്സിയും പരിശോധിക്കുന്നു എന്ന് കരുതരുത്, എൻക്രിപ്റ്റ് ചെയ്ത പ്രോക്സി ഹോപ്പ് അത് ഒഴിവാക്കുന്നു എന്നും കരുതരുത്।
നിങ്ങളുടെ ട്രസ്റ്റ് സ്റ്റോറിലുള്ള സംഘടനാ CA നിങ്ങൾ ഏത് ക്രമീകരണത്തിലാണെന്നതിന്റെ സൂചനയാണ്, തെളിവല്ല। സർട്ടിഫിക്കറ്റ് ശൃംഖലയിൽ നിന്ന് അനുമാനിക്കുന്നതിന് പകരം രൂപകൽപ്പന ചോദിക്കുക।
ആ രണ്ട് ക്രമീകരണങ്ങളും പേജ് ആർക്ക് വായിക്കാം എന്ന ചോദ്യത്തിന് വ്യത്യസ്ത ഉത്തരങ്ങൾ നൽകുന്നു।
അതേ നാല് വരികളിൽ പ്രോക്സിയും VPN-ഉം താരതമ്യം ചെയ്യുക
രണ്ട് വിന്യാസങ്ങളും ഒരേ രീതിയിൽ വിവരിച്ചാൽ മാത്രമേ താരതമ്യം ഉപയോഗപ്രദമാകൂ।
| Line | What to state |
|---|---|
| Protected segments | Which hops are encrypted, and between which endpoints |
| Verified identities | What each end proves, and against which trust anchor |
| Trusted intermediaries | Who can read or alter traffic by design |
| Traffic included | Which processes and destinations the policy actually covers |
ഒരു അഭ്യർത്ഥനയ്ക്കായി ക്രമീകരിച്ച പ്രോക്സി ആ അഭ്യർത്ഥന മാത്രം ഉൾക്കൊള്ളുന്നു। അത് ഉപകരണത്തിലെ ഓരോ പ്രോസസ്സും സ്വന്തം വഴി കടത്തുന്നില്ല, ഉദാഹരണ കമാൻഡ് കൃത്യമായി അത്രമാത്രം ഇടുങ്ങിയതാണ്। VPN-ന്റെ പരിധി അതിന്റെ റൂട്ടിംഗിനെയും ആപ്ലിക്കേഷൻ നയത്തെയും ആശ്രയിച്ചിരിക്കുന്നു, അവയും അനുമാനിക്കാതെ പരിശോധിക്കണം। ഇൻസ്റ്റാൾ ചെയ്തു എന്ന കാരണം കൊണ്ട് മാത്രം ഒരു ഓപ്ഷനും എല്ലാം ഉൾക്കൊള്ളുന്നില്ല।
ഓരോ ഓപ്ഷനും നാല് വരികൾ എഴുതുക, വാദം സാധാരണയായി സ്വയം പരിഹരിക്കപ്പെടും। ഉപയോഗപ്രദമായ താരതമ്യം ഏത് ലേബൽ കൂടുതൽ എൻക്രിപ്റ്റ് ചെയ്തതായി തോന്നുന്നു എന്നതല്ല। മറിച്ച് ഏത് ഭാഗങ്ങൾ സംരക്ഷിതമാണ്, അവയുടെ അറ്റങ്ങളിൽ ആരാണ് പരിശോധിക്കപ്പെടുന്നത്, ഏത് ഇടനിലക്കാരെ നിങ്ങൾ വിശ്വസിക്കുന്നു, നയം യഥാർത്ഥത്തിൽ ഏത് ട്രാഫിക് ഉൾക്കൊള്ളുന്നു എന്നതുമാണ്।