Só para esclarecer, você está usando o squid na frente de vários servidores próprios ou entre as estações de trabalho e a Internet?
Zoredache
Só para esclarecer. Deseja armazenar em cache solicitações ou respostas?
Gqqnbig
Respostas:
12
Existe uma maneira de fazer isso, mas é fundamentalmente contra as razões do uso do HTTPS.
Aqui está como você faria isso.
Gere um certificado SSL autoassinado para o site do qual você deseja interceptar e armazenar em cache as solicitações.
Instale e execute o stunnel no servidor proxy, informando que o certificado que ele deve apresentar é o gerado no estágio 1.
Encaminhe os pedidos descriptografados para o squid.
Pode ser necessário um stunnel do outro lado ou openssl_client para criptografar novamente a solicitação no servidor upstream.
Ressalvas:
Seus usuários vão te odiar. Toda solicitação SSL para esse site apresentará uma janela de certificado inválida.
Você está se expondo a possíveis ações judiciais por fazer coisas malcriadas. (IANAL)
Você só poderá obter um certificado autoassinado trabalhando para isso, por causa do funcionamento da web de confiança da PKI para certificados SSL. Sem dizer nada sobre CAs raiz comprometidas.
Não vou lhe dar os detalhes exatos de como fazer isso, porque a) acho que é antiético eb) é melhor você aprender como fazê-lo.
Sugiro que você pesquise como funcionam os ataques de stunnel e man-in-the-middle.
Você pode solicitar à Trustwave zdnet.com/… que lhe venda um certificado raiz, para que você possa implementar esta solução sem incomodar os usuários: P
Rory
2
Na verdade, se você estiver em um domínio, é muito mais fácil gerar sua própria CA e implantar os certificados públicos para isso com a Diretiva de Grupo.
Tom O'Connor
1
Confiar em um SSC + MITM é útil para depuração de protocolos, armazenamento em cache, inspeção profunda de pacotes e censura / registro. : / Além desses motivos, não é tão bom.
6
Apenas para explicar por que isso não pode ser feito sem o MITM - um proxy vê apenas o nome DNS do servidor ao qual você deseja se conectar ao usar HTTPS criptografado. Ele não vê o URL nem cabeçalhos de resposta. Ele não pode determinar qual recurso individual você está acessando em um site, se é ou não armazenável em cache, nem quais são os tempos de modificação. Tudo o que podemos ver é que alguém quer algo de um servidor remoto usando HTTPS.
Isso significa que o armazenamento em cache não pode funcionar, pois o proxy não sabe quais objetos em cache serão fornecidos ou como obtê-los em primeiro lugar.
Não, não há: eles são criptografados ... Uma solução alternativa seria algo como uma implantação intermediária , mas isso derrotaria todos os motivos por trás do https .
Não há solução alternativa para conseguir isso ou forçar o servidor proxy a descriptografar e armazenar em cache?
Supratik
Uma solução alternativa seria um pouco que refaça a man-in-middleimplantação, mas isso derrotaria todos os motivos por trás de https
yrk
5
Não concordo que isso derrotaria todos os motivos por trás do https. Se você fizer isso em casa e possuir o proxy, seus dados ainda usarão https entre o proxy e os sites.
Brunoqc
@brunoqc é o trabalho de uma VPN.
Yrk
1
Se o cache de https https for importante por algum motivo ou a depuração de uma sessão https, o MITM será super útil. De fato, é assim que Charles trabalha.
1
O ZTM Traffic Manager da Zeus (agora da Riverbed) pode fazer isso, pois pode traduzir o tráfego http e https em ambos os sentidos e armazenar em cache conteúdo não criptografado - funciona, nós o usamos, mas é assustadoramente caro - como no preço de um Porsche por servidor.
Respostas:
Existe uma maneira de fazer isso, mas é fundamentalmente contra as razões do uso do HTTPS.
Aqui está como você faria isso.
Ressalvas:
Não vou lhe dar os detalhes exatos de como fazer isso, porque a) acho que é antiético eb) é melhor você aprender como fazê-lo.
Sugiro que você pesquise como funcionam os ataques de stunnel e man-in-the-middle.
fonte
Apenas para explicar por que isso não pode ser feito sem o MITM - um proxy vê apenas o nome DNS do servidor ao qual você deseja se conectar ao usar HTTPS criptografado. Ele não vê o URL nem cabeçalhos de resposta. Ele não pode determinar qual recurso individual você está acessando em um site, se é ou não armazenável em cache, nem quais são os tempos de modificação. Tudo o que podemos ver é que alguém quer algo de um servidor remoto usando HTTPS.
Isso significa que o armazenamento em cache não pode funcionar, pois o proxy não sabe quais objetos em cache serão fornecidos ou como obtê-los em primeiro lugar.
fonte
Não, não há: eles são criptografados ... Uma solução alternativa seria algo como uma implantação intermediária , mas isso derrotaria todos os motivos por trás do https .
fonte
man-in-middleimplantação, mas isso derrotaria todos os motivos por trás de httpsO ZTM Traffic Manager da Zeus (agora da Riverbed) pode fazer isso, pois pode traduzir o tráfego http e https em ambos os sentidos e armazenar em cache conteúdo não criptografado - funciona, nós o usamos, mas é assustadoramente caro - como no preço de um Porsche por servidor.
fonte