HTTPS ప్రాక్సీ అంటే ఒకటి కాదు, రెండు TLS కనెక్షన్లు
ప్రాక్సీ హాప్ మరియు వెబ్ సైట్ వేర్వేరు విశ్వాసంతో వేర్వేరు TLS సంబంధాలు. ఏ ఎండ్ పాయింట్ విఫలమైందో చదివాకే ఏ సర్టిఫికెట్ సెట్టింగ్ ను మార్చండి.
HTTPS ప్రాక్సీ అనే లేబుల్ మీ క్లయింట్ మరియు ప్రాక్సీ మధ్య రవాణాను మాత్రమే వివరిస్తుంది, అంతే. దాని వెనుక ఉన్న వెబ్ సైట్ అదే కనెక్షన్ తో గుప్తీకరించబడిందని అది చెప్పదు, ప్రాక్సీ పేజీని చదవగలదని కూడా చెప్పదు. ఆ రెండు కనెక్షన్లను వేరు చేసిన తర్వాత, సర్టిఫికెట్ లోపాలు మిస్టీరియస్ గా ఉండటం ఆగిపోతుంది, VPN తో పోలిక స్పష్టమవుతుంది.
రెండు ఎండ్ పాయింట్ జతలు, రెండు ధృవీకరణలు
సాధారణ టన్నెల్ మోడ్ లో రెండు TLS సంబంధాలు ఉంటాయి. మొదటిది మీ క్లయింట్ నుండి ప్రాక్సీ వరకు వెళ్లి ప్రాక్సీని ప్రామాణీకరిస్తుంది. రెండవది మీ క్లయింట్ నుండి టన్నెల్ లోపలి వెబ్ సైట్ వరకు వెళ్లి వెబ్ సైట్ ను ప్రామాణీకరిస్తుంది. అవి స్వతంత్రంగా విఫలమవుతాయి, స్వతంత్రంగా కాన్ఫిగర్ చేయబడతాయి.
వాటికి వేర్వేరు విశ్వాస నిర్ణయాలు, వేర్వేరు సర్టిఫికెట్ చైన్ లు, వేర్వేరు వైఫల్య సందేశాలు ఉంటాయి. సంస్థాగత CA ఉపయోగించే ప్రాక్సీకి, పబ్లిక్ చైన్ ఉపయోగించే పబ్లిక్ వెబ్ సైట్ కు వేర్వేరు ధృవీకరణ కాన్ఫిగరేషన్ చట్టబద్ధంగా అవసరం కావచ్చు, అది తప్పు కాన్ఫిగరేషన్ కాదు.
అవి ఒకే సాకెట్ ను పంచుకునే రెండు కనెక్షన్లుగా చూడండి, ఎందుకంటే అవి అలాంటివే.
CONNECT నిజానికి ఏమి టన్నెల్ చేస్తుంది
క్లయింట్ హోస్ట్ మరియు పోర్ట్ పేర్కొనే CONNECT అభ్యర్థనను పంపుతుంది, ప్రాక్సీ ఆ లక్ష్యానికి TCP కనెక్షన్ తెరుస్తుంది. ప్రాక్సీ సమాధానం ఇచ్చిన తర్వాత, తర్వాత వచ్చే బైట్ లు ఎలాంటి వ్యాఖ్యానం లేకుండా రిలే చేయబడతాయి, అందుకే వెబ్ సైట్ TLS హ్యాండ్ షేక్ ప్రాక్సీ గుండా మార్పు లేకుండా ప్రయాణిస్తుంది. అందువల్ల ప్రాక్సీ గమ్యస్థాన పేరు మరియు కనెక్షన్ మెటాడేటాను తెలుసుకుంటుంది, ఆ ఏర్పాటు నుండి డీక్రిప్ట్ చేసిన పేజీలను పొందదు.
ఆ భేదమే టన్నెల్ మోడ్ కు మొత్తం భద్రతా వాదం, అదే దాని పరిమితి కూడా.
ప్రాక్సీ హాప్ లో TLS లేని HTTP ప్రాక్సీ కూడా CONNECT ద్వారా HTTPS వెబ్ సైట్ ను మోస్తుంది. క్లయింట్-ప్రాక్సీ మార్పిడి బహిరంగంగా ఉంటుంది, వెబ్ సైట్ కనెక్షన్ అలా ఉండదు, మొత్తం విషయాన్ని HTTPS ప్రాక్సీ అని పిలవడం ఆ భేదాన్ని దాచిపెడుతుంది.
ఏ సర్టిఫికెట్ విఫలమైంది
ధృవీకరణ విఫలమైనప్పుడు, ఏ విశ్వాస సెట్టింగ్ ను మార్చే ముందు లోపంలో పేర్కొన్న ఎండ్ పాయింట్ ను చదవండి. ఆ రెండు వైఫల్యాలు టెర్మినల్ లో ఒకేలా కనిపిస్తాయి, పూర్తిగా వేర్వేరు పరిష్కారాలను సూచిస్తాయి, అందుకే మొదటి ప్రశ్న ఎప్పుడూ ఏ కనెక్షన్ తిరస్కరించబడింది అనేది.
curl ఇందుకే ఎంపికలను వేరు చేస్తుంది. ప్రాక్సీ CA ఫైల్ ప్రాక్సీ ధృవీకరణను కాన్ఫిగర్ చేస్తుంది, CA ఫైల్ సర్వర్ ధృవీకరణను కాన్ఫిగర్ చేస్తుంది, వర్తించే ట్రస్ట్ స్టోర్ ప్రవర్తన curl ఎలా నిర్మించబడింది అనే దానిపై కూడా ఆధారపడుతుంది.
curl -v --proxy https://proxy.example.net:443 \
--proxy-cacert org-ca.pem --cacert public-ca.pem https://www.example.com/చెక్ ను అణచివేయడం మరమ్మతు కాదు. అది ఏ ఎండ్ పాయింట్ గురించి ఏమీ నిరూపించదు.
ఇన్ స్పెక్షన్ వేరే ఏర్పాటు
TLS ఇన్ స్పెక్షన్ టన్నెలింగ్ కాదు. ఇన్ స్పెక్ట్ చేసే మధ్యవర్తి వెబ్ సైట్ వైపు విశ్వాస సంబంధాన్ని ముగించి, తన సొంత సర్టిఫికెట్ ను క్లయింట్ కు చూపిస్తాడు, కాబట్టి క్లయింట్ సైట్ ను కాక మధ్యవర్తిని ధృవీకరిస్తుంది. ఆమోదించిన డిజైన్ కింద అది చట్టబద్ధం కావచ్చు, బైట్-బై-బైట్ రిలే నుండి అది ప్రాథమికంగా భిన్నమైన వాదన. ప్రతి ప్రాక్సీ ఇన్ స్పెక్ట్ చేస్తుందని అనుకోకండి, గుప్తీకరించిన ప్రాక్సీ హాప్ దాన్ని మినహాయిస్తుందని కూడా అనుకోకండి.
మీ ట్రస్ట్ స్టోర్ లోని సంస్థాగత CA మీరు ఏ ఏర్పాటులో ఉన్నారో తెలిపే సూచన మాత్రమే, రుజువు కాదు. సర్టిఫికెట్ చైన్ నుండి ఊహించకుండా డిజైన్ ను అడగండి.
ఆ రెండు ఏర్పాట్లు పేజీని ఎవరు చదవగలరు అనే ప్రశ్నకు వేర్వేరు సమాధానాలు ఇస్తాయి.
అదే నాలుగు పంక్తులపై ప్రాక్సీ మరియు VPN ను పోల్చండి
రెండు డిప్లాయ్ మెంట్లను ఒకే విధంగా వివరించినప్పుడే పోలిక ఉపయోగపడుతుంది.
| Line | What to state |
|---|---|
| Protected segments | Which hops are encrypted, and between which endpoints |
| Verified identities | What each end proves, and against which trust anchor |
| Trusted intermediaries | Who can read or alter traffic by design |
| Traffic included | Which processes and destinations the policy actually covers |
ఒక అభ్యర్థన కోసం కాన్ఫిగర్ చేసిన ప్రాక్సీ ఆ అభ్యర్థనను మాత్రమే కవర్ చేస్తుంది. పరికరంలోని ప్రతి ప్రాసెస్ ను దాని గుండా పంపదు, ఉదాహరణ కమాండ్ సరిగ్గా అంతే సన్నగా ఉంటుంది. VPN కవరేజ్ దాని రూటింగ్ మరియు అప్లికేషన్ పాలసీపై ఆధారపడుతుంది, అది కూడా ఊహించకుండా పరిశీలించాలి. ఇన్ స్టాల్ చేయబడిందనే కారణంతో ఏ ఎంపికా అన్నింటినీ కవర్ చేయదు.
ప్రతి ఎంపికకు ఆ నాలుగు పంక్తులు రాయండి, వాదన సాధారణంగా తనంతట తానే తీరిపోతుంది. ఉపయోగకరమైన పోలిక ఏ లేబుల్ ఎక్కువ గుప్తీకృతంగా వినిపిస్తుంది అనేది కాదు. ఏ విభాగాలు రక్షించబడుతున్నాయి, వాటి చివర్లలో ఎవరు ధృవీకరించబడుతున్నారు, ఏ మధ్యవర్తులను మీరు నమ్ముతున్నారు, పాలసీ నిజానికి ఏ ట్రాఫిక్ ను కలిగి ఉంది అనేదే.