Një proxy HTTPS do të thotë dy lidhje TLS, jo një

Etiketa proxy HTTPS përshkruan vetëm transportin midis klientit tuaj dhe proxy-t, dhe asgjë më shumë. Ajo nuk thotë se faqja e internetit pas saj është e kriptuar nga e njëjta lidhje, dhe nuk thotë se proxy-i mund të lexojë faqen. Pasi t'i ndani dy lidhjet, gabimet e certifikatës nuk janë më misterioze dhe krahasimi me një VPN bëhet konkret.

Dy palë pikash fundore, dy verifikime

Në modalitetin e zakonshëm të tunelit ekzistojnë dy marrëdhënie TLS. E para shkon nga klienti juaj te proxy-i dhe vërteton proxy-in. E dyta shkon nga klienti juaj te faqja brenda tunelit dhe vërteton faqen. Ato dështojnë në mënyrë të pavarur dhe konfigurohen në mënyrë të pavarur.

Ato kanë vendime të ndara besimi, zinxhirë certifikatash të ndarë dhe mesazhe dështimi të ndara. Një proxy me një CA organizative dhe një faqe publike me një zinxhir publik mund të kenë legitimisht nevojë për një konfigurim verifikimi të ndryshëm, dhe ky nuk është një konfigurim i gabuar.

Trajtojini si dy lidhje që ndajnë rastësisht një socket, sepse pikërisht ashtu janë.

Çfarë tunelon në të vërtetë CONNECT

Klienti dërgon një kërkesë CONNECT duke emërtuar hostin dhe portin, dhe proxy-i hap një lidhje TCP drejt atij caku. Pasi proxy-i përgjigjet, bajtët që vijojnë përçohen pa interpretim, prandaj shtrëngimi i duarve TLS i faqes kalon nëpër proxy të paprekur. Kështu proxy-i mëson emrin e destinacionit dhe metadata e lidhjes, dhe nuk merr faqe të dekriptuara nga ai rregullim.

Ky dallim është i gjithë argumenti i sigurisë për modalitetin e tunelit, dhe është gjithashtu kufiri i tij.

Një proxy HTTP pa TLS në kërcimin e proxy-t transporton gjithsesi një faqe HTTPS përmes CONNECT. Shkëmbimi klient-proxy është i hapur ndërsa lidhja e faqes nuk është, dhe ta quash të gjithë këtë proxy HTTPS fsheh atë dallim.

Cili certifikatë dështoi

Kur verifikimi dështon, lexoni pikën fundore të emërtuar në gabim përpara se të ndryshoni ndonjë cilësim besimi. Të dyja dështimet duken njësoj në një terminal dhe tregojnë drejt rregullimeve krejt të ndryshme, prandaj pyetja e parë është gjithmonë cila lidhje refuzoi.

curl i ndan opsionet pikërisht për këtë arsye. Skedari CA i proxy-t konfiguron verifikimin e proxy-t, ndërsa skedari CA konfiguron verifikimin e serverit, dhe sjellja e depozitës së besimit të zbatueshme varet gjithashtu nga mënyra se si u ndërtua curl.

curl -v --proxy https://proxy.example.net:443 \
  --proxy-cacert org-ca.pem --cacert public-ca.pem https://www.example.com/

Shtypja e një kontrolli nuk është riparim. Nuk vërteton asgjë për asnjërën nga dy pikat fundore.

Inspektimi është një rregullim tjetër

Inspektimi TLS nuk është tunelim. Një ndërmjetës inspektues përfundon marrëdhënien e besimit me faqen dhe i paraqet klientit certifikatën e vet, kështu që klienti verifikon ndërmjetësin dhe jo faqen. Kjo mund të jetë e ligjshme nën një dizajn të miratuar, dhe është një pohim thelbësisht i ndryshëm nga përçimi bajt pas bajti. Mos supozoni se çdo proxy inspekton, dhe mos supozoni se një kërcim proxy i kriptuar e përjashton këtë.

Një CA organizative në depozitën tuaj të besimit është një aluzion se në cilin rregullim ndodheni, jo një provë. Kërkoni dizajnin në vend që ta nxirrni nga një zinxhir certifikatash.

Këto dy rregullime japin përgjigje të ndryshme për pyetjen se kush mund të lexojë faqen.

Krahasoni proxy-n dhe VPN-në në të njëjtat katër rreshta

Krahasimi bëhet i dobishëm vetëm kur të dyja vendosjet përshkruhen në të njëjtën mënyrë.

Një proxy i konfiguruar për një kërkesë mbulon atë kërkesë. Ai nuk e kalon çdo proces të pajisjes përmes vetes, dhe komanda e shembullit është pikërisht kaq e ngushtë. Mbulimi i një VPN varet nga rrugëtimi dhe politika e aplikacioneve të tij, të cilat gjithashtu duhet të inspektohen dhe jo të supozohen. Asnjëra opsion nuk mbulon gjithçka vetëm sepse u instalua.

Shkruani katër rreshtat për secilin opsion dhe argumenti zakonisht zgjidhet vetë. Krahasimi i dobishëm nuk është cila etiketë tingëllon më e kriptuar. Por cilat segmente mbrohen, kush verifikohet në skajet e tyre, në cilët ndërmjetës keni besim dhe çfarë trafiku përfshin në të vërtetë politika.