Wakala wa HTTPS humaanisha miunganisho miwili ya TLS, si mmoja

Jina wakala wa HTTPS hufafanua usafirishaji kati ya mteja wako na wakala, na hakuna zaidi. Halisemi kuwa tovuti iliyo nyuma yake imesimbwa kwa muunganisho huo huo, na halisemi kuwa wakala anaweza kusoma ukurasa. Ukitenganisha miunganisho hiyo miwili, makosa ya vyeti huacha kuwa ya kutatanisha na ulinganisho na VPN unakuwa dhahiri.

Jozi mbili za miisho, uthibitishaji miwili

Katika hali ya kawaida ya handaki kuna mahusiano mawili ya TLS. La kwanza huanzia mteja wako hadi kwa wakala na huthibitisha wakala. La pili huanzia mteja wako hadi kwenye tovuti ndani ya handaki, na huthibitisha tovuti. Hushindwa kwa kujitegemea na husanidiwa kwa kujitegemea.

Yana maamuzi tofauti ya uaminifu, minyororo tofauti ya vyeti na ujumbe tofauti wa kushindwa. Wakala anayetumia CA ya shirika na tovuti ya umma inayotumia mnyororo wa umma wanaweza kwa halali kuhitaji mipangilio tofauti ya uthibitishaji, na hiyo si hitilafu ya usanidi.

Yachukulie kama miunganisho miwili inayotokea kushiriki soketi moja, kwa sababu ndivyo ilivyo.

CONNECT huweka handaki kwa kitu gani hasa

Mteja hutuma ombi la CONNECT linalotaja mwenyeji na bandari, na wakala hufungua muunganisho wa TCP kwenda kwa lengo hilo. Baada ya wakala kujibu, baiti zinazofuata husafirishwa bila kufasiriwa, ndiyo sababu makubaliano ya TLS ya tovuti hupita kwa wakala bila kubadilishwa. Kwa hiyo wakala hujifunza jina la lengo na metadata ya muunganisho, na hapokei kurasa zilizofumbuliwa kutokana na mpango huo.

Tofauti hiyo ndiyo hoja yote ya usalama kwa hali ya handaki, na pia ndiyo kikomo chake.

Wakala wa HTTP asiye na TLS kwenye hatua ya wakala bado hubeba tovuti ya HTTPS kupitia CONNECT. Mawasiliano kati ya mteja na wakala ni ya wazi ilhali muunganisho wa tovuti siyo, na kuita jambo lote wakala wa HTTPS huficha tofauti hiyo.

Cheti kipi kilishindwa

Uthibitishaji unaposhindwa, soma mwisho uliotajwa kwenye kosa kabla ya kubadilisha mpangilio wowote wa uaminifu. Makosa hayo mawili yanafanana kwenye terminal na yaelekeza kwenye marekebisho tofauti kabisa, ndiyo sababu swali la kwanza huwa ni muunganisho upi ulikataliwa.

curl hutenganisha chaguo kwa sababu hii hasa. Faili ya CA ya wakala husanidi uthibitishaji wa wakala, ilhali faili ya CA husanidi uthibitishaji wa seva, na tabia ya hifadhi ya uaminifu inayotumika pia hutegemea jinsi curl ilivyoundwa.

curl -v --proxy https://proxy.example.net:443 \
  --proxy-cacert org-ca.pem --cacert public-ca.pem https://www.example.com/

Kuzuia ukaguzi si ukarabati. Haukithibitishi chochote kuhusu mwisho wowote.

Ukaguzi ni mpango tofauti

Ukaguzi wa TLS si uwekaji wa handaki. Mtu wa kati anayekagua hukomesha uhusiano wa uaminifu unaoelekea tovuti na kuwasilisha cheti chake kwa mteja, kwa hiyo mteja huthibitisha mtu wa kati badala ya tovuti. Hilo linaweza kuwa halali chini ya muundo ulioidhinishwa, na ni madai tofauti kabisa na kusafirisha baiti kwa baiti. Usidhani kila wakala hukagua, na usidhani hatua ya wakala iliyosimbwa inaondoa uwezekano huo.

CA ya shirika katika hifadhi yako ya uaminifu ni dokezo la mpango uliomo, si uthibitisho. Uliza muundo badala ya kuukisia kutokana na mnyororo wa vyeti.

Mipango hiyo miwili hutoa majibu tofauti kwa swali la nani anaweza kusoma ukurasa.

Linganisha wakala na VPN kwenye mistari hiyo minne

Ulinganisho huwa na maana tu pale usambazaji wote miwili unapoelezwa kwa njia moja.

Wakala aliyesanidiwa kwa ombi moja hushughulikia ombi hilo. Hafikishi kila mchakato kwenye kifaa kupitia kwake, na amri ya mfano ni nyembamba hivyo hasa. Ufikiaji wa VPN hutegemea uelekezaji wake na sera ya programu, ambayo pia inapaswa kuchunguzwa badala ya kudhaniwa. Hakuna chaguo linalofunika kila kitu eti kwa sababu tu limesakinishwa.

Andika mistari minne kwa kila chaguo na hoja kwa kawaida hujitatua yenyewe. Ulinganisho unaofaa si lebo ipi inasikika kama imesimbwa zaidi. Ni sehemu zipi zinalindwa, nani anathibitishwa kwenye miisho yao, ni wapatanishi gani unawaamini, na ni trafiki ipi sera inaijumuisha kwa hakika.