HTTPS proxy iki TLS bağlantısı demektir, tek değil

HTTPS proxy etiketi, istemciniz ile proxy arasındaki taşımayı tanımlar, fazlasını değil. Arkasındaki web sitesinin aynı bağlantıyla şifrelendiğini söylemez ve proxy'nin sayfayı okuyabildiğini de söylemez. İki bağlantıyı ayırdığınızda sertifika hataları gizemini yitirir ve VPN ile karşılaştırma somutlaşır.

İki uç nokta çifti, iki doğrulama

Olağan tünel modunda iki TLS ilişkisi vardır. Birincisi istemcinizden proxy'ye gider ve proxy'yi kimlik doğrular. İkincisi istemcinizden tünelin içindeki web sitesine gider ve web sitesini kimlik doğrular. Birbirinden bağımsız başarısız olurlar ve bağımsız olarak yapılandırılırlar.

Ayrı güven kararları, ayrı sertifika zincirleri ve ayrı hata mesajları vardır. Kurumsal CA kullanan bir proxy ile genel bir zincir kullanan genel bir web sitesinin farklı doğrulama yapılandırmasına meşru olarak ihtiyaç duyması mümkündür ve bu bir yanlış yapılandırma değildir.

Onları aynı soketi paylaşan iki bağlantı olarak görün, çünkü öyledirler.

CONNECT gerçekte neyi tüneller

İstemci, ana bilgisayarı ve bağlantı noktasını belirten bir CONNECT isteği gönderir ve proxy o hedefe bir TCP bağlantısı açar. Proxy yanıt verdikten sonra gelen baytlar yorumlanmadan iletilir, bu yüzden web sitesinin TLS el sıkışması proxy'den değişmeden geçer. Böylece proxy hedef adını ve bağlantı üst verisini öğrenir ve bu düzenlemeden şifresi çözülmüş sayfalar almaz.

Bu ayrım tünel modunun tüm güvenlik gerekçesidir ve aynı zamanda sınırıdır.

Proxy atlamasında TLS olmayan bir HTTP proxy yine de CONNECT üzerinden bir HTTPS web sitesi taşır. İstemci ile proxy arasındaki alışveriş açıktır, web sitesi bağlantısı ise değildir ve bütün olaya HTTPS proxy demek bu farkı gizler.

Hangi sertifika başarısız oldu

Doğrulama başarısız olduğunda, herhangi bir güven ayarını değiştirmeden önce hatada adı geçen uç noktayı okuyun. İki hata terminalde benzer görünür ve tamamen farklı düzeltmelere işaret eder, bu yüzden ilk soru her zaman hangi bağlantının reddedildiğidir.

curl seçenekleri tam da bu nedenle ayırır. Proxy CA dosyası proxy'nin doğrulamasını yapılandırır, CA dosyası ise sunucunun doğrulamasını yapılandırır ve geçerli güven deposu davranışı curl'ün nasıl derlendiğine de bağlıdır.

curl -v --proxy https://proxy.example.net:443 \
  --proxy-cacert org-ca.pem --cacert public-ca.pem https://www.example.com/

Bir denetimi bastırmak onarım değildir. Hiçbir uç nokta hakkında hiçbir şey kanıtlamaz.

Denetim farklı bir düzenlemedir

TLS denetimi tünelleme değildir. Denetleyen bir aracı, web sitesine bakan güven ilişkisini sonlandırır ve istemciye kendi sertifikasını sunar, böylece istemci siteyi değil aracıyı doğrular. Onaylanmış bir tasarım kapsamında bu meşru olabilir ve bayt bayt aktarmadan maddi olarak farklı bir iddiadır. Her proxy'nin denetlediğini varsaymayın ve şifrelenmiş bir proxy atlamasının bunu dışladığını da varsaymayın.

Güven deponuzdaki kurumsal bir CA, hangi düzenlemede olduğunuza dair bir ipucudur, kanıt değildir. Sertifika zincirinden çıkarsamak yerine tasarımı sorun.

Bu iki düzenleme, sayfayı kimin okuyabildiği sorusuna farklı yanıtlar verir.

Proxy ile VPN'i aynı dört satırda karşılaştırın

Karşılaştırma ancak her iki kurulum da aynı şekilde tanımlandığında yararlı olur.

Tek bir istek için yapılandırılmış bir proxy yalnızca o isteği kapsar. Cihazdaki her süreci onun üzerinden göndermez ve örnek komut tam olarak bu kadar dardır. VPN'in kapsamı yönlendirme ve uygulama ilkesine bağlıdır, bu da varsayılmak yerine incelenmelidir. Hiçbir seçenek yalnızca kuruldu diye her şeyi kapsamaz.

Her seçenek için dört satırı yazın, tartışma genellikle kendiliğinden çözülür. Yararlı karşılaştırma hangi etiketin daha şifreli kulağa geldiği değildir. Hangi segmentlerin korunduğu, uçlarında kimin doğrulandığı, hangi aracılara güvendiğiniz ve ilkenin gerçekte hangi trafiği kapsadığıdır.