Proksi HTTPS bermaksud dua sambungan TLS, bukan satu

Label proksi HTTPS hanya menerangkan pengangkutan antara klien anda dan proksi, tidak lebih. Ia tidak mengatakan laman web di belakangnya disulitkan oleh sambungan yang sama, dan tidak mengatakan proksi boleh membaca halaman itu. Setelah anda memisahkan kedua-dua sambungan, ralat sijil tidak lagi misteri dan perbandingan dengan VPN menjadi konkrit.

Dua pasangan hujung, dua pengesahan

Dalam mod terowong biasa terdapat dua hubungan TLS. Yang pertama berjalan dari klien anda ke proksi dan mengesahkan proksi. Yang kedua berjalan dari klien anda ke laman web di dalam terowong dan mengesahkan laman web. Kedua-duanya gagal secara berasingan dan dikonfigurasikan secara berasingan.

Keduanya mempunyai keputusan kepercayaan berasingan, rantaian sijil berasingan dan mesej kegagalan berasingan. Proksi yang menggunakan CA organisasi dan laman web awam yang menggunakan rantaian awam boleh secara sah memerlukan konfigurasi pengesahan yang berbeza, dan itu bukan salah konfigurasi.

Layan keduanya sebagai dua sambungan yang kebetulan berkongsi satu soket, kerana itulah hakikatnya.

Apa yang sebenarnya diterowongkan oleh CONNECT

Klien menghantar permintaan CONNECT dengan menamakan hos dan port, dan proksi membuka sambungan TCP ke sasaran itu. Selepas proksi menjawab, bait berikutnya disalurkan tanpa tafsiran, itulah sebabnya jabat tangan TLS laman web melintasi proksi tanpa disentuh. Jadi proksi mengetahui nama destinasi dan metadata sambungan, dan ia tidak menerima halaman yang dinyahsulit daripada susunan itu.

Perbezaan itulah keseluruhan hujah keselamatan mod terowong, dan ia juga hadnya.

Proksi HTTP tanpa TLS pada lompatan proksi masih membawa laman HTTPS melalui CONNECT. Pertukaran klien-ke-proksi berlaku secara terbuka manakala sambungan laman web tidak, dan menamakan semuanya proksi HTTPS menyembunyikan perbezaan itu.

Sijil mana yang gagal

Apabila pengesahan gagal, baca hujung yang dinamakan dalam ralat sebelum menukar sebarang tetapan kepercayaan. Kedua-dua kegagalan kelihatan serupa di terminal dan menunjuk kepada pembetulan yang sama sekali berbeza, sebab itu soalan pertama sentiasa sambungan mana yang menolak.

curl memisahkan pilihan tepat kerana sebab ini. Fail CA proksi mengkonfigurasi pengesahan proksi, manakala fail CA mengkonfigurasi pengesahan pelayan, dan tingkah laku stor kepercayaan yang berkenaan juga bergantung pada cara curl dibina.

curl -v --proxy https://proxy.example.net:443 \
  --proxy-cacert org-ca.pem --cacert public-ca.pem https://www.example.com/

Menekan pemeriksaan bukan pembaikan. Ia tidak membuktikan apa-apa tentang mana-mana hujung.

Pemeriksaan ialah susunan yang berbeza

Pemeriksaan TLS bukan penerowongan. Perantara yang memeriksa menamatkan hubungan kepercayaan ke laman web dan membentangkan sijilnya sendiri kepada klien, jadi klien mengesahkan perantara dan bukan laman. Itu boleh sah di bawah reka bentuk yang diluluskan, dan ia adalah dakwaan yang berbeza secara material daripada penghantaran bait demi bait. Jangan anggap setiap proksi memeriksa, dan jangan anggap lompatan proksi yang disulitkan mengecualikannya.

CA organisasi dalam stor kepercayaan anda ialah petunjuk tentang susunan mana anda berada, bukan bukti. Tanya tentang reka bentuk daripada menyimpulkannya daripada rantaian sijil.

Kedua-dua susunan itu memberi jawapan berbeza kepada soalan siapa yang boleh membaca halaman itu.

Bandingkan proksi dan VPN pada empat baris yang sama

Perbandingan hanya berguna apabila kedua-dua penggunaan dijelaskan dengan cara yang sama.

Proksi yang dikonfigurasikan untuk satu permintaan meliputi permintaan itu. Ia tidak mengalirkan setiap proses pada peranti melaluinya, dan arahan contoh memang sesempit itu. Liputan VPN bergantung pada penghalaan dan dasar aplikasinya, yang juga mesti diperiksa dan bukan diandaikan. Tiada pilihan yang meliputi segala-galanya semata-mata kerana ia dipasang.

Tulis empat baris untuk setiap pilihan dan hujahnya biasanya selesai sendiri. Perbandingan yang berguna bukanlah label mana yang kedengaran lebih disulitkan. Sebaliknya segmen mana yang dilindungi, siapa yang disahkan di hujungnya, perantara mana yang anda percayai, dan trafik apa yang sebenarnya diliputi oleh dasar itu.