Prokuri HTTPS ifisser żewġ konnessjonijiet TLS, mhux waħda
Il-qabża tal-prokuri u s-sit web huma relazzjonijiet TLS separati b'fiduċja separata. Aqra liema tarf falla qabel ma tibdel kwalunkwe setting taċ-ċertifikat.
It-tikketta prokuri HTTPS tiddeskrivi biss it-trasport bejn il-klijent tiegħek u l-prokuri, u xejn aktar. Ma tgħidx li s-sit web warajh huwa kriptat mill-istess konnessjoni, u ma tgħidx li l-prokuri jista' jaqra l-paġna. Ladarba tissepara ż-żewġ konnessjonijiet, l-iżbalji taċ-ċertifikat ma jibqgħux misterjużi u t-tqabbil ma' VPN isir konkret.
Żewġ pari ta' trufijiet, żewġ verifiki
Fil-mod ta' mina ordinarju hemm żewġ relazzjonijiet TLS. L-ewwel waħda tmur mill-klijent tiegħek għall-prokuri u tawtentika l-prokuri. It-tieni waħda tmur mill-klijent tiegħek għas-sit web ġewwa l-mina u tawtentika s-sit web. Huma jfallu b'mod indipendenti u jiġu konfigurati b'mod indipendenti.
Għandhom deċiżjonijiet ta' fiduċja separati, ktajjen ta' ċertifikati separati u messaġġi ta' falliment separati. Prokuri li juża CA organizzattiva u sit web pubbliku li juża katina pubblika jistgħu legalment jeħtieġu konfigurazzjoni ta' verifika differenti, u dan mhuwiex konfigurazzjoni ħażina.
Ittrattahom bħala żewġ konnessjonijiet li jinqasmu sockett wieħed b'kumbinazzjoni, għax hekk inhuma.
X'inhuma t-tunnels li CONNECT fil-fatt jagħmel
Il-klijent jibgħat talba CONNECT billi jsemmi l-host u l-port, u l-prokuri jiftaħ konnessjoni TCP lejn dak il-mira. Wara li l-prokuri jwieġeb, il-bytes li jsegwu jiġu rilajati mingħajr interpretazzjoni, għalhekk il-handshake TLS tas-sit web jgħaddi mill-prokuri bla ma jitmess. B'hekk il-prokuri jitgħallem l-isem tad-destinazzjoni u l-metadata tal-konnessjoni, u ma jirċevix paġni dekreptati minn dak l-arranġament.
Dik id-differenza hija l-argument kollu tas-sigurtà tal-mod ta' mina, u hija wkoll il-limitu tiegħu.
Prokuri HTTP mingħajr TLS fuq il-qabża tal-prokuri xorta jġorr sit HTTPS permezz ta' CONNECT. L-iskambju bejn il-klijent u l-prokuri jsir fil-beraħ waqt li l-konnessjoni tas-sit web le, u li ssejjaħ dan kollu prokuri HTTPS jaħbi dik id-differenza.
Liema ċertifikat falla
Meta l-verifika tfalli, aqra t-tarf imsemmi fl-iżball qabel ma tibdel kwalunkwe setting ta' fiduċja. Iż-żewġ fallimenti jidhru simili f'terminal u jindikaw fuq korrezzjonijiet kompletament differenti, għalhekk l-ewwel mistoqsija hija dejjem liema konnessjoni rrifjutat.
curl jifred l-għażliet eżattament għal din ir-raġuni. Il-fajl CA tal-prokuri jikkonfigura l-verifika tal-prokuri, filwaqt li l-fajl CA jikkonfigura l-verifika tas-server, u l-imġiba tal-maħżen tal-fiduċja applikabbli tiddependi wkoll fuq kif inbena curl.
curl -v --proxy https://proxy.example.net:443 \
--proxy-cacert org-ca.pem --cacert public-ca.pem https://www.example.com/L-issuppressjoni ta' verifika mhijiex tiswija. Ma tipprovax xejn dwar ebda wieħed miż-żewġ trufijiet.
L-ispezzjoni hija arranġament differenti
L-ispezzjoni TLS mhijiex tunneling. Intermedjarju li jispezzjona jtemm ir-relazzjoni ta' fiduċja lejn is-sit web u jippreżenta ċ-ċertifikat tiegħu stess lill-klijent, għalhekk il-klijent jivverifika l-intermedjarju u mhux is-sit. Dan jista' jkun legali taħt disinn approvat, u huwa pretensjoni sostanzjalment differenti milli jirrilaja byte b'byte. Tassumix li kull prokuri jispezzjona, u tassumix li qabża ta' prokuri kriptata teskludih.
CA organizzattiva fil-maħżen tal-fiduċja tiegħek hija ħjiel dwar liema arranġament int fiha, mhux prova. Staqsi dwar id-disinn minflok ma tinferixxih minn katina ta' ċertifikati.
Dawk iż-żewġ arranġamenti jagħtu tweġibiet differenti għall-mistoqsija ta' min jista' jaqra l-paġna.
Qabbel prokuri u VPN fuq l-istess erba' linji
It-tqabbil isir utli biss meta ż-żewġ varar jiġu deskritti bl-istess mod.
| Line | What to state |
|---|---|
| Protected segments | Which hops are encrypted, and between which endpoints |
| Verified identities | What each end proves, and against which trust anchor |
| Trusted intermediaries | Who can read or alter traffic by design |
| Traffic included | Which processes and destinations the policy actually covers |
Prokuri kkonfigurat għal talba waħda jkopri dik it-talba. Ma jgħaddix kull proċess fuq l-apparat minnu, u l-kmand tal-eżempju huwa eżattament daqshekk dejjaq. Il-kopertura tal-VPN tiddependi fuq ir-routing u l-politika tal-applikazzjonijiet tiegħu, li wkoll iridu jiġu spezzjonati minflok ma jiġu preżunti. L-ebda għażla ma tkopri kollox sempliċement għax ġiet installata.
Ikteb l-erba' linji għal kull għażla u l-argument normalment isolvi ruħu. It-tqabbil utli mhuwiex liema tikketta tinstema' aktar kriptata. Iżda liema segmenti huma protetti, min huwa vverifikat fit-truf tagħhom, liema intermedjarji tafdahom, u liema traffiku l-politika fil-fatt tkopri.