Bozuk sertifika ile https talebi nasıl yapılır?

https://golang.orgProgramatik olarak almak istediğimi söyle . Şu anda golang.org (ssl) 'nin kötü bir sertifikası var ve *.appspot.combunu çalıştırdığımda So:

package main

import (
    "log"
    "net/http"
)

func main() {
    _, err := http.Get("https://golang.org/")
    if err != nil {
        log.Fatal(err)
    }
}

Anladım (beklediğim gibi)

Get https://golang.org/: certificate is valid for *.appspot.com, *.*.appspot.com, appspot.com, not golang.org

Şimdi, bu sertifikaya kendim güvenmek istiyorum (parmak izini doğrulayabileceğim, kendi kendine verilen bir sertifika düşünün): nasıl bir istekte bulunabilir ve sertifikayı doğrulayabilir / güvenebilirim?

Sertifikayı indirmek, dosyama yüklemek ve tls.Configstruct'u doldurmak için muhtemelen openssl kullanmam gerekiyor!?

Güvenlik notu: Güvenlik kontrollerini devre dışı bırakmak tehlikelidir ve bundan kaçınılmalıdır

Varsayılan istemcinin tüm istekleri için genel olarak güvenlik kontrollerini devre dışı bırakabilirsiniz:

package main

import (
    "fmt"
    "net/http"
    "crypto/tls"
)

func main() {
    http.DefaultTransport.(*http.Transport).TLSClientConfig = &tls.Config{InsecureSkipVerify: true}
    _, err := http.Get("https://golang.org/")
    if err != nil {
        fmt.Println(err)
    }
}

Bir istemci için güvenlik kontrolünü devre dışı bırakabilirsiniz:

package main

import (
    "fmt"
    "net/http"
    "crypto/tls"
)

func main() {
    tr := &http.Transport{
        TLSClientConfig: &tls.Config{InsecureSkipVerify: true},
    }
    client := &http.Client{Transport: tr}
    _, err := client.Get("https://golang.org/")
    if err != nil {
        fmt.Println(err)
    }
}

İşte varsayılan ayarlarını kaybetmeden ve DefaultTransportkullanıcı yorumuna göre sahte isteğe ihtiyaç duymadan bunu yapmanın bir yolu .

defaultTransport := http.DefaultTransport.(*http.Transport)

// Create new Transport that ignores self-signed SSL
customTransport := &http.Transport{
  Proxy:                 defaultTransport.Proxy,
  DialContext:           defaultTransport.DialContext,
  MaxIdleConns:          defaultTransport.MaxIdleConns,
  IdleConnTimeout:       defaultTransport.IdleConnTimeout,
  ExpectContinueTimeout: defaultTransport.ExpectContinueTimeout,
  TLSHandshakeTimeout:   defaultTransport.TLSHandshakeTimeout,
  TLSClientConfig:       &tls.Config{InsecureSkipVerify: true},
}

GÜNCELLEME

Daha kısa yol:

customTransport := &(*http.DefaultTransport.(*http.Transport)) // make shallow copy
customTransport.TLSClientConfig = &tls.Config{InsecureSkipVerify: true}

Doğru yol (Go 1.13 itibariyle) ( aşağıdaki yanıtla sağlanmıştır ):

customTransport := http.DefaultTransport.(*http.Transport).Clone()
customTransport.TLSClientConfig = &tls.Config{InsecureSkipVerify: true}

Uyarı : Yalnızca test / geliştirme amaçlıdır. Başka herhangi bir şey, kendi sorumluluğunuzdadır !!!

Bütün bu cevaplar yanlış! Ana InsecureSkipVerifybilgisayar adıyla eşleşmeyen bir CN ile uğraşmak için kullanmayın . Go geliştiricileri akıllıca bir şekilde ana bilgisayar adı kontrollerini (meşru kullanımları olan tüneller, nats, paylaşılan küme sertifikaları vb.) Devre dışı bırakmama konusunda kararlıydılar ve aynı zamanda benzer görünen ancak aslında sertifika kontrolünü tamamen yok sayan bir şeye sahiplerdi . Sertifikanın geçerli olduğunu ve güvendiğiniz bir sertifika tarafından imzalandığını bilmeniz gerekir. Ancak yaygın senaryolarda, CN'nin bağlandığınız ana bilgisayar adıyla eşleşmeyeceğini bilirsiniz. Olanlar için, set ServerNameüzerinde tls.Config. Eğer tls.Config.ServerName== remoteServerCN ardından sertifika onay başarılı olacaktır. Senin istediğin bu. InsecureSkipVerifyHİÇBİR kimlik doğrulama olmadığı anlamına gelir; ve Ortadaki Adam için olgunlaşmış; TLS kullanma amacını ortadan kaldırmak.

Şunun meşru bir kullanımı vardır InsecureSkipVerify: bunu bir ana bilgisayara bağlanmak ve sertifikasını almak için kullanın, ardından hemen bağlantıyı kesin. Kodunuzu kullanmak için kurarsanız InsecureSkipVerify, bunun nedeni genellikle ServerNamedoğru şekilde ayarlamamış olmanızdır (bunun bir env var veya başka bir şeyden gelmesi gerekir - bu gereksinim konusunda karın ağrınız yok ... doğru yapın).

Özellikle, istemci sertifikalarını kullanır ve kimlik doğrulama için bunlara güvenirseniz, aslında artık oturum açmayan sahte bir girişiniz olur. İşe yarayan kodu reddedin yoksa InsecureSkipVerifyneyin yanlış olduğunu zor yoldan öğreneceksiniz!

Varsayılan aktarım ayarlarını korumak istiyorsanız, bunu yapmanın doğru yolu şimdi (Go 1.13'ten itibaren):

customTransport := http.DefaultTransport.(*http.Transport).Clone()
customTransport.TLSClientConfig = &tls.Config{InsecureSkipVerify: true}
client = &http.Client{Transport: customTransport}

Transport.Clone , taşımanın derin bir kopyasını çıkarır. Bu şekilde Transport, zamanla yapıya eklenen yeni alanları kaçırma konusunda endişelenmenize gerek kalmaz .

Yeni bir Taşıma ve İstemci nesnesi oluşturmanıza gerek kalmaması için http paketinden varsayılan ayarları kullanmak istiyorsanız, sertifika doğrulamasını şu şekilde göz ardı edecek şekilde değiştirebilirsiniz:

tr := http.DefaultTransport.(*http.Transport)
tr.TLSClientConfig.InsecureSkipVerify = true

Genel olarak, URL’nin DNS Etki Alanı, sertifikanın Sertifika Konusuyla eşleşmelidir ZORUNLU.

Eskiden bu, alanı sertifikanın cn'si olarak ayarlayarak veya alan adını Konu Alternatif Adı olarak ayarlayarak olabilirdi.

Cn desteği uzun bir süredir kullanımdan kaldırıldı ( RFC 2818'de 2000'den beri ) ve Chrome tarayıcısı artık cn'ye bile bakmayacak, bu nedenle bugün URL'nin DNS Etki Alanını Konu Alternatif Adı olarak almanız gerekiyor .

RFC 6125 , DNS Etki Alanı için SAN varsa cn denetimini yasaklar, ancak IP Adresi için SAN varsa bunu yapmaz. RFC 6125 ayrıca, RFC 2818'de zaten söylendiği gibi cn'nin kullanımdan kaldırıldığını tekrarlar. Ve RFC 6125 ile birlikte esasen cn'nin DNS Etki Alanı adı için hiçbir zaman kontrol edilmeyeceği anlamına gelen Sertifika Yetkilisi Tarayıcı Forumu da mevcut olacaktır.