HTTPS прокси нь хоёр TLS холболт гэсэн үг, нэг биш

HTTPS прокси гэсэн шошго нь зөвхөн таны клиент болон прокси хоорондын дамжуулалтыг тодорхойлдог, өөр юу ч биш. Энэ нь ард байгаа вебсайт нь мөнөөх холболтоор шифрлэгдсэн гэж хэлэхгүй, прокси хуудсыг уншиж чадна гэж ч хэлэхгүй. Хоёр холболтыг тусгаарламагц сертификатын алдаа нууцлаг байхаа болино, VPN-тэй харьцуулах нь тодорхой болно.

Хоёр хос төгсгөл, хоёр баталгаажуулалт

Энгийн туннелийн горимд хоёр TLS харилцаа байдаг. Эхнийх нь таны клиентээс прокси руу явж проксийг баталгаажуулна. Хоёр дахь нь таны клиентээс туннелийн доторх вебсайт руу явж вебсайтыг баталгаажуулна. Тэд бие даан бүтэлгүйтдэг бөгөөд бие даан тохируулагддаг.

Тэдэнд тусдаа итгэлийн шийдвэр, тусдаа сертификатын хэлхээ, тусдаа алдааны мэдээлэл бий. Байгууллагын CA ашигладаг прокси болон нийтийн хэлхээ ашигладаг нийтийн вебсайт хууль ёсоор өөр баталгаажуулалтын тохиргоо шаардаж болох бөгөөд энэ нь буруу тохиргоо биш юм.

Тэднийг санамсаргүйгээр нэг сокет хуваалцдаг хоёр холболт гэж үзээрэй, учир нь тэд яг ийм юм.

CONNECT үнэндээ юуг туннелж байна

Клиент хост болон портыг нэрлэсэн CONNECT хүсэлт илгээж, прокси тэр зорилт руу TCP холболт нээнэ. Прокси хариулсны дараа дараагийн байтууд тайлбаргүйгээр дамждаг, тиймээс вебсайтын TLS гар барилт проксигоор хөндөгдөөгүй өнгөрдөг. Ингэснээр прокси очих газрын нэр болон холболтын мета өгөгдлийг мэддэг боловч энэ зохицуулалтаас тайлагдсан хуудсыг авдаггүй.

Энэ ялгаа нь туннелийн горимын бүх аюулгүй байдлын үндэслэл бөгөөд мөн түүний хязгаар юм.

Прокси үсрэлт дээр TLSгүй HTTP прокси CONNECT-ээр дамжуулан HTTPS вебсайтыг зөөсөөр байна. Клиент-прокси солилцоо нээлттэй байхад вебсайтын холболт тийм биш, бүх зүйлийг HTTPS прокси гэж нэрлэх нь тэр ялгааг нуудаг.

Аль сертификат бүтэлгүйтсэн бэ

Баталгаажуулалт бүтэлгүйтвэл ямар ч итгэлийн тохиргоог өөрчлөхөөс өмнө алдаанд нэрлэгдсэн төгсгөлийг уншина уу. Хоёр алдаа терминал дээр ижил харагдаж, огт өөр засваруудыг заадаг, тиймээс эхний асуулт үргэлж аль холболт татгалзсан бэ гэдэг.

curl сонголтуудыг яг энэ шалтгаанаар тусгаарладаг. Проксийн CA файл проксийн баталгаажуулалтыг тохируулдаг бол CA файл серверийн баталгаажуулалтыг тохируулдаг, мөн хэрэгжих итгэлийн сангийн зан төлөв нь curl хэрхэн бүтээгдсэнээс бас хамаарна.

curl -v --proxy https://proxy.example.net:443 \
  --proxy-cacert org-ca.pem --cacert public-ca.pem https://www.example.com/

Шалгалтыг дарах нь засвар биш. Энэ нь хоёр төгсгөлийн аль нэгний тухай юу ч батлахгүй.

Шалгалт нь өөр зохицуулалт

TLS шалгалт нь туннел биш. Шалгагч зуучлагч вебсайт руу чиглэсэн итгэлийн харилцааг дуусгаж, клиентэд өөрийн сертификатыг танилцуулдаг тул клиент сайтыг биш, зуучлагчийг баталгаажуулна. Энэ нь батлагдсан дизайны хүрээнд хууль ёсны байж болох бөгөөд байт тутам дамжуулалтаас мөн чанараараа өөр мэдэгдэл юм. Прокси бүр шалгадаг гэж бүү бод, шифрлэгдсэн прокси үсрэлт үүнийг үгүйсгэдэг гэж ч бүү бод.

Итгэлийн санд байгаа байгууллагын CA нь та аль зохицуулалтад байгааг заасан сэжүүр, нотолгоо биш. Сертификатын хэлхээнээс дүгнэхийн оронд дизайныг асуугаарай.

Тэр хоёр зохицуулалт хуудсыг хэн уншиж болох вэ гэсэн асуултад өөр өөр хариулт өгдөг.

Прокси болон VPN-ийг ижил дөрвөн мөрөнд харьцуул

Хоёр байршуулалтыг ижил аргаар тайлбарласан үед л харьцуулалт ашигтай болно.

Нэг хүсэлтэд тохируулсан прокси тэр хүсэлтийг хамарна. Энэ нь төхөөрөмж дээрх бүх процессоор дамждаггүй, жишээ командыг яг тийм нарийн. VPN-ийн хамрах хүрээ нь түүний маршрутчлал болон аппын бодлогоос хамаардаг, тэдгээрийг ч таамаглахын оронд шалгах хэрэгтэй. Аль ч сонголт зүгээр л суулгасан учраас бүгдийг хамардаггүй.

Сонголт бүрийн дөрвөн мөрийг бичээрэй, маргаан ихэвчлэн өөрөө шийдэгддэг. Ашигтай харьцуулалт нь аль шошго илүү шифрлэгдсэн сонсогдох нь биш. Харин аль сегментүүд хамгаалагдсан, тэдгээрийн төгсгөлд хэн баталгаажиж байна, ямар зуучлагчдад итгэдэг, бодлого үнэндээ ямар урсгалыг хамардаг вэ гэдэг.