Jak wykonać żądanie https ze złym certyfikatem?

Powiedz, że chcę uzyskać https://golang.orgprogramowo. Obecnie golang.org (ssl) ma zły certyfikat, który jest wystawiany dla *.appspot.comWięc kiedy uruchamiam to:

package main

import (
    "log"
    "net/http"
)

func main() {
    _, err := http.Get("https://golang.org/")
    if err != nil {
        log.Fatal(err)
    }
}

Dostaję (tak jak się spodziewałem)

Get https://golang.org/: certificate is valid for *.appspot.com, *.*.appspot.com, appspot.com, not golang.org

Teraz chcę sam zaufać temu certyfikatowi (wyobraź sobie certyfikat wydany przez siebie, w którym mogę zweryfikować odcisk palca itp.): Jak mogę złożyć wniosek i zweryfikować / zaufać certyfikatowi?

Prawdopodobnie muszę użyć openssl, aby pobrać certyfikat, załadować go do mojego pliku i wypełnić tls.Configstrukturę!?

Uwaga dotycząca bezpieczeństwa: wyłączenie kontroli bezpieczeństwa jest niebezpieczne i należy go unikać

Możesz wyłączyć globalne kontrole bezpieczeństwa dla wszystkich żądań klienta domyślnego:

package main

import (
    "fmt"
    "net/http"
    "crypto/tls"
)

func main() {
    http.DefaultTransport.(*http.Transport).TLSClientConfig = &tls.Config{InsecureSkipVerify: true}
    _, err := http.Get("https://golang.org/")
    if err != nil {
        fmt.Println(err)
    }
}

Możesz wyłączyć kontrolę bezpieczeństwa dla klienta:

package main

import (
    "fmt"
    "net/http"
    "crypto/tls"
)

func main() {
    tr := &http.Transport{
        TLSClientConfig: &tls.Config{InsecureSkipVerify: true},
    }
    client := &http.Client{Transport: tr}
    _, err := client.Get("https://golang.org/")
    if err != nil {
        fmt.Println(err)
    }
}

Oto sposób na zrobienie tego bez utraty domyślnych ustawień DefaultTransporti bez potrzeby fałszywego żądania zgodnie z komentarzem użytkownika.

defaultTransport := http.DefaultTransport.(*http.Transport)

// Create new Transport that ignores self-signed SSL
customTransport := &http.Transport{
  Proxy:                 defaultTransport.Proxy,
  DialContext:           defaultTransport.DialContext,
  MaxIdleConns:          defaultTransport.MaxIdleConns,
  IdleConnTimeout:       defaultTransport.IdleConnTimeout,
  ExpectContinueTimeout: defaultTransport.ExpectContinueTimeout,
  TLSHandshakeTimeout:   defaultTransport.TLSHandshakeTimeout,
  TLSClientConfig:       &tls.Config{InsecureSkipVerify: true},
}

AKTUALIZACJA

Krótszy sposób:

customTransport := &(*http.DefaultTransport.(*http.Transport)) // make shallow copy
customTransport.TLSClientConfig = &tls.Config{InsecureSkipVerify: true}

Właściwy sposób (od Go 1.13) (podany w odpowiedzi poniżej ):

customTransport := http.DefaultTransport.(*http.Transport).Clone()
customTransport.TLSClientConfig = &tls.Config{InsecureSkipVerify: true}

Ostrzeżenie : tylko do celów testowych / programistycznych. Cokolwiek innego, kontynuuj na własne ryzyko !!!

Wszystkie te odpowiedzi są błędne! Nie używaj InsecureSkipVerifydo obsługi CN, która nie pasuje do nazwy hosta. Deweloperzy Go nierozsądnie byli nieugięci, aby nie wyłączać sprawdzania nazw hostów (co ma uzasadnione zastosowania - tunele, Nats, współdzielone certyfikaty klastrów itp.), A jednocześnie mając coś, co wygląda podobnie, ale w rzeczywistości całkowicie ignoruje sprawdzanie certyfikatu. Musisz wiedzieć, że certyfikat jest ważny i podpisany certyfikatem, któremu ufasz. Ale w typowych scenariuszach wiesz, że CN nie będzie pasować do nazwy hosta, z którym się łączyłeś. Dla nich ustaw ServerNamena tls.Config. Jeśli tls.Config.ServerName== remoteServerCN, sprawdzenie certyfikatu powiedzie się. To jest to, czego chcesz. InsecureSkipVerifyoznacza, że ​​NIE ma uwierzytelnienia; i jest już gotowy na Man-In-The-Middle; pokonanie celu korzystania z TLS.

Jest jedno uzasadnione zastosowanie InsecureSkipVerify: użyj go, aby połączyć się z hostem i pobrać jego certyfikat, a następnie natychmiast się rozłączyć. Jeśli skonfigurowałeś swój kod do użycia InsecureSkipVerify, zazwyczaj dzieje się tak, ponieważ nie ustawiłeśServerName poprawnie (będzie musiał pochodzić z zmiennej env lub czegoś podobnego - nie bój się brzucha z powodu tego wymagania ... zrób to poprawnie).

W szczególności, jeśli używasz certyfikatów klienta i polegasz na nich przy uwierzytelnianiu, w zasadzie masz fałszywy login, który w rzeczywistości już się nie loguje. Odrzuć kod, który to robi InsecureSkipVerify, albo dowiesz się, co jest z nim nie tak na własnej skórze!

Prawidłowy sposób, aby to zrobić, jeśli chcesz zachować domyślne ustawienia transportu, to teraz (od Go 1.13):

customTransport := http.DefaultTransport.(*http.Transport).Clone()
customTransport.TLSClientConfig = &tls.Config{InsecureSkipVerify: true}
client = &http.Client{Transport: customTransport}

Transport.Clone tworzy głęboką kopię transportu. W ten sposób nie musisz się martwić brakiem nowych pól, które Transportz czasem zostaną dodane do struktury.

Jeśli chcesz użyć domyślnych ustawień z pakietu http, więc nie musisz tworzyć nowego obiektu Transport i Client, możesz zmienić, aby zignorować weryfikację certyfikatu w następujący sposób:

tr := http.DefaultTransport.(*http.Transport)
tr.TLSClientConfig.InsecureSkipVerify = true

Ogólnie rzecz biorąc, domena DNS adresu URL MUSI być zgodna z tematem certyfikatu certyfikatu.

W przeszłości mogło to być spowodowane ustawieniem domeny jako cn certyfikatu lub ustawieniem domeny jako alternatywnej nazwy podmiotu.

Obsługa cn została wycofana przez długi czas (od 2000 r. W RFC 2818 ), a przeglądarka Chrome nie będzie już nawet patrzeć na cn, więc dziś musisz mieć domenę DNS adresu URL jako alternatywną nazwę podmiotu.

RFC 6125 zabrania sprawdzania cn, jeśli jest obecna SAN dla domeny DNS, ale nie, jeśli jest obecna SAN dla adresu IP. RFC 6125 również powtarza, że ​​cn jest przestarzałe, co zostało już powiedziane w RFC 2818. Obecne jest także forum przeglądarki urzędów certyfikacji, co w połączeniu z RFC 6125 zasadniczo oznacza, że ​​cn nigdy nie będzie sprawdzane pod kątem nazwy domeny DNS.