गोलांग: खराब प्रमाणपत्र के साथ https अनुरोध कैसे करें?

Question

कहें कि मैं https://golang.org प्रोग्रामेटिक रूप से प्राप्त करना चाहता हूं। वर्तमान में golang.org (एसएसएल) एक बुरा प्रमाण पत्र तो जब मैं चलाने के जो *.appspot.com को जारी किया जाता है यह:

package main 

import (
    "log" 
    "net/http" 
) 

func main() { 
    _, err := http.Get("https://golang.org/") 
    if err != nil { 
     log.Fatal(err) 
    } 
} 

मैं (के रूप में मैं उम्मीद)

Get https://golang.org/: certificate is valid for *.appspot.com, *.*.appspot.com, appspot.com, not golang.org 

अब, मैं इस पर विश्वास करना चाहते प्रमाण पत्र स्वयं (एक स्व-जारी प्रमाण पत्र की कल्पना करें जहां मैं फिंगरप्रिंट इत्यादि को मान्य कर सकता हूं): मैं कैसे अनुरोध कर सकता हूं और प्रमाण पत्र को प्रमाणित/भरोसा कर सकता हूं?

मुझे शायद प्रमाणपत्र डाउनलोड करने के लिए openssl का उपयोग करने की आवश्यकता है, इसे अपनी फ़ाइल में लोड करें और tls.Config संरचना भरें!

Answer 1

सुरक्षा नोट: सुरक्षा जांच को निष्क्रिय करना खतरनाक है और बचा जाना चाहिए

आप डिफ़ॉल्ट क्लाइंट के सभी अनुरोधों के लिए विश्व स्तर पर सुरक्षा जांच निष्क्रिय कर सकते हैं:

package main 

import (
    "fmt" 
    "net/http" 
    "crypto/tls" 
) 

func main() { 
    http.DefaultTransport.(*http.Transport).TLSClientConfig = &tls.Config{InsecureSkipVerify: true} 
    _, err := http.Get("https://golang.org/") 
    if err != nil { 
     fmt.Println(err) 
    } 
} 

आप एक के लिए सुरक्षा जांच निष्क्रिय कर सकते हैं ग्राहक:

package main 

import (
    "fmt" 
    "net/http" 
    "crypto/tls" 
) 

func main() { 
    tr := &http.Transport{ 
     TLSClientConfig: &tls.Config{InsecureSkipVerify: true}, 
    } 
    client := &http.Client{Transport: tr} 
    _, err := client.Get("https://golang.org/") 
    if err != nil { 
     fmt.Println(err) 
    } 
} 

Answer 2

यदि आप http पैकेज से डिफ़ॉल्ट सेटिंग्स का उपयोग करना चाहते हैं, तो आप

tr := http.DefaultTransport.(*http.Transport) 
tr.TLSClientConfig.InsecureSkipVerify = true 

Answer 3

यहाँ DefaultTransport की डिफ़ॉल्ट सेटिंग्स खोने के बिना यह करने के लिए एक तरीका है, और जरूरत के बिना: एक नई परिवहन और ग्राहक वस्तु बनाने की जरूरत नहीं है, तो आप इस तरह के प्रमाण पत्र सत्यापन अनदेखी करने के लिए बदल सकते हैं उपयोगकर्ता टिप्पणी के अनुसार नकली अनुरोध।

defaultTransport := http.DefaultTransport.(*http.Transport) 

// Create new Transport that ignores self-signed SSL 
httpClientWithSelfSignedTLS := &http.Transport{ 
    Proxy:     defaultTransport.Proxy, 
    DialContext:   defaultTransport.DialContext, 
    MaxIdleConns:   defaultTransport.MaxIdleConns, 
    IdleConnTimeout:  defaultTransport.IdleConnTimeout, 
    ExpectContinueTimeout: defaultTransport.ExpectContinueTimeout, 
    TLSHandshakeTimeout: defaultTransport.TLSHandshakeTimeout, 
    TLSClientConfig:  &tls.Config{InsecureSkipVerify: true}, 
} 

Answer 4

ये सभी उत्तर गलत हैं! एक सीएन से निपटने के लिए InsecureSkipVerify का उपयोग न करें जो होस्टनाम से मेल नहीं खाता है। गो डेवलपर्स अनजाने में मेजबाननाम चेक (जिसमें वैध उपयोग हैं - सुरंगों, नट्स, साझा क्लस्टर कर्ट इत्यादि) को अक्षम करने के बारे में अशिष्ट थे, जबकि कुछ ऐसा दिखता है, लेकिन वास्तव में पूरी तरह से प्रमाणपत्र जांच को अनदेखा करता है। आपको यह जानना होगा कि प्रमाण पत्र मान्य है और उस प्रमाणपत्र द्वारा हस्ताक्षरित है जिस पर आप भरोसा करते हैं। लेकिन सामान्य परिदृश्यों में, आप जानते हैं कि सीएन आपके द्वारा जुड़े होस्टनाम से मेल नहीं खाएगा। उन लोगों के लिए, tls.Config पर ServerName सेट करें। यदि tls.Config.ServerName == रिमोटसेवर सीएन, तो प्रमाणपत्र जांच सफल होगी। आप यही चाहते हैं। InsecureSkipVerify का मतलब है कि कोई प्रमाणीकरण नहीं है; और यह मैन-इन-द-मध्य के लिए परिपक्व है; टीएलएस का उपयोग करने के उद्देश्य को हराया।

InsecureSkipVerify के लिए एक वैध उपयोग है: इसे होस्ट से कनेक्ट करने और उसके प्रमाणपत्र को पकड़ने के लिए इसका उपयोग करें, फिर तुरंत डिस्कनेक्ट करें। यदि आप InsecureSkipVerify का उपयोग करने के लिए अपना कोड सेट करते हैं, तो आमतौर पर यह ServerName ठीक से सेट नहीं किया गया था (इसे एक env var या कुछ से आना होगा - इस आवश्यकता के बारे में पेट-दर्द न करें ... इसे सही तरीके से करें)।

विशेष रूप से, यदि आप ग्राहक के संपर्कों का उपयोग करते हैं और प्रमाणीकरण के लिए उन पर भरोसा करते हैं, तो मूल रूप से एक नकली लॉगिन होता है जो वास्तव में और लॉगिन नहीं करता है। कोड को अस्वीकार करें जो InsecureSkipVerify करता है, या आप सीखेंगे कि इसमें क्या गलत है!