यहां तक कि TLS निरीक्षण अक्षम होने के बावजूद एक अविश्वसनीय वेबसाइट का एक्सेस अवरुद्ध किया गया है

मुद्दा

यहां तक कि TLS निरीक्षण अक्षम होने के बावजूद एक अविश्वसनीय सीए या स्व-हस्ताक्षरित प्रमाणपत्र के साथ एक वेबसाइट का एक्सेस केटो द्वारा अवरुद्ध किया गया है

पर्यावरण

• TLS निरीक्षण अक्षम किया गया

• प्रॉम्प्ट या ब्लॉक कार्रवाई वाले फायरवॉल नियम

ट्रबलशूटिंग

• ब्लॉकेज को एक TLS उप-प्रकार घटना उत्पन्न करनी चाहिए, जो उपयोगकर्ताओं को यह सोचने में गुमराह कर सकती है कि TLS निरीक्षण ट्रैफ़िक को अवरुद्ध कर रहा है, जबकि वह अक्षम है।

  

• डिजाइन के अनुसार, जब TLS निरीक्षण सक्षम नहीं होता है, तब भी HTTPS अनुरोधों की जांच नहीं की जाएगी, भले ही संबंधित वेबसाइट अविश्वसनीय प्रमाणपत्र का उपयोग करती हो, कोई कार्रवाई नहीं की जाएगी।

• हालांकि, जब ट्रैफ़िक से मेल खाता है एक फ़ायरवॉल नियम जो प्रॉम्प्ट या ब्लॉक के रूप में है कार्रवाई, यह TLSi को आमंत्रित या ट्रिगर करेगा, भले ही बाद वाला सक्षम नहीं था। यह इसलिए है क्योंकि प्रॉम्प्ट/ब्लॉक पृष्ठ को पेलोड में इंजेक्ट करने के लिए TLSi की आवश्यकता होती है। यदि यह अविश्वसनीय या स्व-हस्ताक्षरित प्रमाणपत्र का पता लगाता है, तो हमारा एल्गोरिदम इस पृष्ठ को अवरुद्ध करना है, भले ही TLSi शुरुआत में सक्षम नहीं था, क्योंकि यह एक सुरक्षा जोखिम है।

• उपरोक्त व्यवहार घटना में परिलक्षित होगा TLS निरीक्षण = 1
  

• यदि क्लाइंट के पीसी पर केटो प्रमाण पत्र स्थापित है, उपयोगकर्ता को प्रॉम्प्ट पृष्ठ मिलेगा लेकिन उसके बाद उन्हें 'अमान्य SSL/TLS प्रमाणपत्र' त्रुटि प्राप्त होगी जो पिछले बिंदु को साबित करती है।

उपाय

फायरवॉल नियम कार्रवाई को प्रॉम्प्ट/ब्लॉक से अनुमति दें में बदलें या एक नया नियम बनाएं जिसमें लक्षित साइट को ऐप/श्रेणी के रूप में शामिल करें और कार्रवाई अनुमति दें के रूप में सेट करें। आप एक कस्टम एप्लिकेशन में साइट का IP पता या डोमेन परिभाषित कर सकते हैं।