golang: Jak wykonać żądanie https ze złym certyfikatem?

Question

Powiedz, że chcę programowo uzyskać https://golang.org. Obecnie golang.org (SSL) posiada który jest wydawany *.appspot.com Więc kiedy biegnę złe świadectwo to:

package main 

import (
    "log" 
    "net/http" 
) 

func main() { 
    _, err := http.Get("https://golang.org/") 
    if err != nil { 
     log.Fatal(err) 
    } 
} 

dostać (jak się spodziewałem)

Get https://golang.org/: certificate is valid for *.appspot.com, *.*.appspot.com, appspot.com, not golang.org 

Teraz chcę zaufać tym zaświadczenie (wyobraź sobie samopozywalny certyfikat, w którym mogę potwierdzić odcisk palca itp.): w jaki sposób mogę złożyć wniosek i potwierdzić/zaufać certyfikatowi?

Prawdopodobnie potrzebuję użyć openssl, aby pobrać certyfikat, załadować go do mojego pliku i wypełnić strukturę tls.Config!

Answer 1

uwaga Bezpieczeństwo: Wyłączenie kontroli bezpieczeństwa jest niebezpieczne i należy unikać

Można wyłączyć sprawdzanie zabezpieczeń globalnie dla wszystkich żądań domyślnego klienta:

package main 

import (
    "fmt" 
    "net/http" 
    "crypto/tls" 
) 

func main() { 
    http.DefaultTransport.(*http.Transport).TLSClientConfig = &tls.Config{InsecureSkipVerify: true} 
    _, err := http.Get("https://golang.org/") 
    if err != nil { 
     fmt.Println(err) 
    } 
} 

można wyłączyć sprawdzanie zabezpieczeń dla klient:

package main 

import (
    "fmt" 
    "net/http" 
    "crypto/tls" 
) 

func main() { 
    tr := &http.Transport{ 
     TLSClientConfig: &tls.Config{InsecureSkipVerify: true}, 
    } 
    client := &http.Client{Transport: tr} 
    _, err := client.Get("https://golang.org/") 
    if err != nil { 
     fmt.Println(err) 
    } 
} 

Answer 2

Jeśli chcesz użyć ustawień domyślnych z pakietu http, Nie trzeba tworzyć nowy transport i przedmiot Client, można zmienić, aby zignorować weryfikację certyfikatu takiego:

tr := http.DefaultTransport.(*http.Transport) 
tr.TLSClientConfig.InsecureSkipVerify = true 

Answer 3

oto sposób to zrobić bez utraty ustawień domyślnych z DefaultTransport i bez potrzebując fałszywe żądanie zgodnie z komentarzem użytkownika.

defaultTransport := http.DefaultTransport.(*http.Transport) 

// Create new Transport that ignores self-signed SSL 
httpClientWithSelfSignedTLS := &http.Transport{ 
    Proxy:     defaultTransport.Proxy, 
    DialContext:   defaultTransport.DialContext, 
    MaxIdleConns:   defaultTransport.MaxIdleConns, 
    IdleConnTimeout:  defaultTransport.IdleConnTimeout, 
    ExpectContinueTimeout: defaultTransport.ExpectContinueTimeout, 
    TLSHandshakeTimeout: defaultTransport.TLSHandshakeTimeout, 
    TLSClientConfig:  &tls.Config{InsecureSkipVerify: true}, 
} 

Answer 4

Wszystkie te odpowiedzi są błędne! Nie używaj InsecureSkipVerify do obsługi CN, która nie jest zgodna z nazwą hosta. Twórcy Go nierozsądnie byli nieugięci w kwestii wyłączania sprawdzania nazw hostów (które ma uzasadnione zastosowania - tunele, naty, wspólne certyfikaty klastrów, itp.), A jednocześnie mają coś, co wygląda podobnie, ale w rzeczywistości całkowicie ignoruje sprawdzanie certyfikatu pod numerem. Musisz wiedzieć, że certyfikat jest ważny i podpisany przez certyfikat, któremu ufasz. Ale w typowych scenariuszach wiesz, że CN nie będzie pasować do nazwy hosta, z którą się łączyłeś. W tym celu ustaw ServerName na tls.Config. Jeśli tls.Config.ServerName == remoteServerCN, to sprawdzenie certyfikatu zakończy się pomyślnie. To jest to, czego chcesz. InsecureSkipVerify oznacza, że ​​NIE ma uwierzytelnienia; i jest dojrzałe dla Man-In-the-Middle; pokonując cel używania TLS.

Jest jedno uzasadnione użycie dla InsecureSkipVerify: użyj go, aby połączyć się z hostem i pobrać jego certyfikat, a następnie natychmiast się rozłączyć. Jeśli skonfigurowałeś kod do używania InsecureSkipVerify, to na ogół dlatego, że nie ustawiłeś prawidłowo ServerName (będzie musiał pochodzić z env var lub czegoś - nie boleć z brzucha o tym wymaganiu ... zrób to poprawnie).

W szczególności, jeśli korzystasz z certyfikatów klienta i polegasz na nich w celu uwierzytelnienia, w zasadzie masz fałszywe logowanie, które już się nie loguje. Odmówić kod, który ma InsecureSkipVerify, lub dowiesz się, co jest nie tak z tym trudnym!