จะขอ https ด้วยใบรับรองที่ไม่ถูกต้องได้อย่างไร

บอกว่าฉันต้องการรับแบบเป็นhttps://golang.orgโปรแกรม ปัจจุบัน golang.org (ssl) มีใบรับรองที่ไม่ถูกต้องซึ่งออกให้*.appspot.comดังนั้นเมื่อฉันเรียกใช้สิ่งนี้:

package main

import (
    "log"
    "net/http"
)

func main() {
    _, err := http.Get("https://golang.org/")
    if err != nil {
        log.Fatal(err)
    }
}

ฉันได้รับ (ตามที่ฉันคาดไว้)

Get https://golang.org/: certificate is valid for *.appspot.com, *.*.appspot.com, appspot.com, not golang.org

ตอนนี้ฉันต้องการเชื่อถือใบรับรองนี้ด้วยตัวเอง (ลองนึกภาพใบรับรองที่ออกเองซึ่งฉันสามารถตรวจสอบลายนิ้วมือ ฯลฯ ): ฉันจะส่งคำขอและตรวจสอบ / เชื่อถือใบรับรองได้อย่างไร

ฉันอาจต้องใช้ openssl เพื่อดาวน์โหลดใบรับรองโหลดลงในไฟล์ของฉันและกรอกโครงสร้างtls.Config!?

หมายเหตุด้านความปลอดภัย: การปิดใช้งานการตรวจสอบความปลอดภัยเป็นสิ่งที่อันตรายและควรหลีกเลี่ยง

คุณสามารถปิดใช้งานการตรวจสอบความปลอดภัยได้ทั่วโลกสำหรับคำขอทั้งหมดของไคลเอ็นต์เริ่มต้น:

package main

import (
    "fmt"
    "net/http"
    "crypto/tls"
)

func main() {
    http.DefaultTransport.(*http.Transport).TLSClientConfig = &tls.Config{InsecureSkipVerify: true}
    _, err := http.Get("https://golang.org/")
    if err != nil {
        fmt.Println(err)
    }
}

คุณสามารถปิดใช้งานการตรวจสอบความปลอดภัยสำหรับไคลเอ็นต์:

package main

import (
    "fmt"
    "net/http"
    "crypto/tls"
)

func main() {
    tr := &http.Transport{
        TLSClientConfig: &tls.Config{InsecureSkipVerify: true},
    }
    client := &http.Client{Transport: tr}
    _, err := client.Get("https://golang.org/")
    if err != nil {
        fmt.Println(err)
    }
}

นี่เป็นวิธีที่ทำได้โดยไม่สูญเสียการตั้งค่าเริ่มต้นของDefaultTransportและโดยไม่ต้องใช้คำขอปลอมตามความคิดเห็นของผู้ใช้

defaultTransport := http.DefaultTransport.(*http.Transport)

// Create new Transport that ignores self-signed SSL
customTransport := &http.Transport{
  Proxy:                 defaultTransport.Proxy,
  DialContext:           defaultTransport.DialContext,
  MaxIdleConns:          defaultTransport.MaxIdleConns,
  IdleConnTimeout:       defaultTransport.IdleConnTimeout,
  ExpectContinueTimeout: defaultTransport.ExpectContinueTimeout,
  TLSHandshakeTimeout:   defaultTransport.TLSHandshakeTimeout,
  TLSClientConfig:       &tls.Config{InsecureSkipVerify: true},
}

UPDATE

วิธีที่สั้นกว่า:

customTransport := &(*http.DefaultTransport.(*http.Transport)) // make shallow copy
customTransport.TLSClientConfig = &tls.Config{InsecureSkipVerify: true}

วิธีที่เหมาะสม (ณ วันที่ 1.13) (ตามคำตอบด้านล่าง ):

customTransport := http.DefaultTransport.(*http.Transport).Clone()
customTransport.TLSClientConfig = &tls.Config{InsecureSkipVerify: true}

คำเตือน : สำหรับการทดสอบ / พัฒนาเท่านั้น อย่างอื่นดำเนินการด้วยความเสี่ยงของคุณเอง !!!

คำตอบทั้งหมดนี้ผิด! อย่าใช้InsecureSkipVerifyเพื่อจัดการกับ CN ที่ไม่ตรงกับชื่อโฮสต์ นักพัฒนาซอฟต์แวร์ Go ยืนกรานอย่างไม่เต็มใจที่จะไม่ปิดใช้งานการตรวจสอบชื่อโฮสต์ (ซึ่งมีการใช้งานที่ถูกต้องเช่นอุโมงค์, nats, ใบรับรองคลัสเตอร์ที่ใช้ร่วมกัน ฯลฯ ) ในขณะเดียวกันก็มีบางอย่างที่ดูคล้ายกัน แต่จริงๆแล้วไม่สนใจการตรวจสอบใบรับรองโดยสิ้นเชิง คุณจำเป็นต้องทราบว่าใบรับรองถูกต้องและลงนามโดยใบรับรองที่คุณเชื่อถือ แต่ในสถานการณ์ทั่วไปคุณจะรู้ว่า CN ไม่ตรงกับชื่อโฮสต์ที่คุณเชื่อมต่อ สำหรับผู้ที่ตั้งอยู่บนServerName tls.Configถ้าtls.Config.ServerName== remoteServerCN การตรวจสอบใบรับรองจะสำเร็จ นี่คือสิ่งที่คุณต้องการ InsecureSkipVerifyหมายความว่าไม่มีการรับรองความถูกต้อง และมันก็สุกงอมสำหรับผู้ชายที่อยู่ตรงกลาง การเอาชนะวัตถุประสงค์ของการใช้ TLS

มีการใช้งานที่ถูกต้องอย่างหนึ่งสำหรับInsecureSkipVerify: ใช้เพื่อเชื่อมต่อกับโฮสต์และรับใบรับรองจากนั้นยกเลิกการเชื่อมต่อทันที หากคุณตั้งค่ารหัสเพื่อใช้InsecureSkipVerifyโดยทั่วไปเป็นเพราะคุณตั้งค่าไม่ServerNameถูกต้อง (จะต้องมาจาก env var หรืออะไรบางอย่าง - อย่าปวดท้องเกี่ยวกับข้อกำหนดนี้ ... ทำอย่างถูกต้อง)

โดยเฉพาะอย่างยิ่งหากคุณใช้ใบรับรองไคลเอ็นต์และพึ่งพาใบรับรองเหล่านี้ในการตรวจสอบสิทธิ์โดยพื้นฐานแล้วคุณจะมีการเข้าสู่ระบบปลอมที่ไม่ได้เข้าสู่ระบบอีกต่อไป ปฏิเสธรหัสที่ทำไม่InsecureSkipVerifyเช่นนั้นคุณจะได้เรียนรู้ว่ามีอะไรผิดปกติ!

วิธีที่ถูกต้องในการดำเนินการนี้หากคุณต้องการรักษาการตั้งค่าการขนส่งเริ่มต้นคือตอนนี้ (ณ Go 1.13):

customTransport := http.DefaultTransport.(*http.Transport).Clone()
customTransport.TLSClientConfig = &tls.Config{InsecureSkipVerify: true}
client = &http.Client{Transport: customTransport}

Transport.Cloneทำสำเนาการขนส่งอย่างละเอียด วิธีนี้ทำให้คุณไม่ต้องกังวลว่าจะพลาดฟิลด์ใหม่ ๆ ที่เพิ่มเข้าไปในโครงสร้างTransportเมื่อเวลาผ่านไป

หากคุณต้องการใช้การตั้งค่าเริ่มต้นจากแพ็กเกจ http ดังนั้นคุณไม่จำเป็นต้องสร้างอ็อบเจ็กต์ Transport และ Client ใหม่คุณสามารถเปลี่ยนเพื่อละเว้นการตรวจสอบใบรับรองได้ดังนี้:

tr := http.DefaultTransport.(*http.Transport)
tr.TLSClientConfig.InsecureSkipVerify = true

โดยทั่วไปโดเมน DNS ของ URL ต้องตรงกับหัวข้อใบรับรองของใบรับรอง

ในอดีตอาจเป็นได้โดยการตั้งค่าโดเมนเป็น cn ของใบรับรองหรือโดยกำหนดให้โดเมนเป็น Subject Alternative Name

การสนับสนุน cn เลิกใช้งานไปนานแล้ว (ตั้งแต่ปี 2000 ในRFC 2818 ) และเบราว์เซอร์ Chrome จะไม่ดู cn อีกต่อไปดังนั้นวันนี้คุณต้องมีโดเมน DNS ของ URL เป็นชื่อทางเลือกของหัวเรื่อง

RFC 6125ซึ่งห้ามไม่ให้ตรวจสอบ cn หากมี SAN สำหรับโดเมน DNS แต่จะไม่แสดงหากมี SAN สำหรับที่อยู่ IP RFC 6125 ซ้ำว่า cn เลิกใช้แล้วซึ่งได้กล่าวไปแล้วใน RFC 2818 และฟอรัมเบราว์เซอร์ของผู้ออกใบรับรองจะนำเสนอซึ่งเมื่อรวมกับ RFC 6125 โดยพื้นฐานแล้วหมายความว่า cn จะไม่ถูกตรวจสอบสำหรับชื่อโดเมน DNS