HTTPS CONNECT

Die Methode CONNECT in HTTP ermöglicht es einem Client, einen Proxy-Server anzuweisen, einen direkten TCP-Tunnel zu einem bestimmten Zielhost und Port aufzubauen. Dies dient primär der sicheren Kapselung von Nicht-HTTP-Verkehr, wie z.B. HTTPS, durch den Proxy. Dieser Mechanismus ist entscheidend, um verschlüsselte Kommunikationen durch einen HTTP-Proxy zu leiten, ohne dass der Proxy den Datenverkehr entschlüsselt.

Verständnis von Proxy-Tunneling mit CONNECT

Wenn ein Client auf eine Ressource über HTTPS zugreifen muss, muss die Kommunikation Ende-zu-Ende zwischen dem Client und dem Ursprungsserver verschlüsselt sein. Ein Standard-HTTP-Proxy, der typischerweise durch das Lesen und Weiterleiten von HTTP-Anfragen (GET, POST usw.) arbeitet, kann HTTPS-Verkehr nicht direkt verarbeiten, da er die Daten nicht entschlüsseln kann, ohne die TLS-Verbindung (Transport Layer Security) zu unterbrechen. Die CONNECT-Methode bietet eine Lösung, indem sie den Proxy für die Dauer der Verbindung in ein einfaches TCP-Relay verwandelt.

Die Herausforderung von verschlüsseltem Datenverkehr für Proxys

HTTPS basiert auf einem TLS-Handshake, der vom Client direkt mit dem Ursprungsserver initiiert wird. Dieser Handshake beinhaltet den Austausch von kryptografischen Schlüsseln und Zertifikaten, wodurch ein sicherer, verschlüsselter Kanal aufgebaut wird. Würde ein Proxy versuchen, diesen Datenverkehr abzufangen und zu entschlüsseln, müsste er dem Client sein eigenes Zertifikat präsentieren, das nicht mit dem erwarteten Zertifikat des Ursprungsservers übereinstimmen würde, was zu Sicherheitswarnungen oder Verbindungsfehlern führen würde, es sei denn, es sind spezifische Vertrauenskonfigurationen vorhanden.

Die CONNECT-Methode umgeht dieses Problem, indem sie den Proxy anweist, eine rohe TCP-Verbindung zum angegebenen Ziel zu öffnen. Sobald diese Verbindung hergestellt ist, hört der Proxy auf, HTTP-Anfragen zu parsen, und leitet einfach alle nachfolgenden rohen Byte-Streams zwischen dem Client und dem Zielserver weiter, wodurch effektiv ein blinder Tunnel entsteht.

Funktionsweise der CONNECT-Methode

Der Prozess des Aufbaus eines HTTPS-Tunnels über die CONNECT-Methode beinhaltet einen separaten Handshake zwischen dem Client und dem Proxy, gefolgt vom direkten TLS-Handshake des Clients mit dem Ursprungsserver durch den etablierten Tunnel.

1. Client sendet CONNECT-Anfrage an Proxy:
   Der Client initiiert den Prozess, indem er eine HTTP CONNECT-Anfrage an den Proxy-Server sendet. Diese Anfrage spezifiziert den Zielhost und den Port, mit dem der Client sich verbinden möchte. Der Port für HTTPS ist typischerweise 443.

   http CONNECT www.example.com:443 HTTP/1.1 Host: www.example.com:443 Proxy-Connection: Keep-Alive User-Agent: MyApp/1.0
   Diese Anfrage signalisiert dem Proxy: "Stelle eine rohe TCP-Verbindung zu www.example.com auf Port 443 her. Sobald verbunden, leite alle nachfolgenden Daten zwischen mir und diesem Server ohne Inspektion weiter."

2. Proxy stellt Verbindung her und antwortet:

   • Der Proxy empfängt die CONNECT-Anfrage und versucht, eine direkte TCP-Verbindung zu www.example.com auf Port 443 herzustellen.
   • Wird diese Verbindung erfolgreich hergestellt, sendet der Proxy eine HTTP 200 OK-Antwort an den Client zurück.

   http HTTP/1.1 200 Connection established Proxy-Agent: MyProxyService/1.0
   Diese 200 OK-Antwort bestätigt dem Client, dass der TCP-Tunnel aktiv ist.

3. TLS-Handshake und verschlüsselte Kommunikation:

   • Nach Erhalt des 200 OK hört der Client auf, HTTP-Anfragen an den Proxy zu senden. Stattdessen beginnt er, rohe TLS-Handshake-Nachrichten direkt an www.example.com durch den etablierten Proxy-Tunnel zu senden.
   • Der Proxy, der rein als Relay fungiert, leitet diese TLS-Nachrichten weiter, ohne zu versuchen, sie zu interpretieren oder zu modifizieren.
   • Sobald der TLS-Handshake erfolgreich abgeschlossen ist, wird ein Ende-zu-Ende-verschlüsselter Kanal zwischen dem Client und www.example.com aufgebaut. Alle nachfolgenden Anwendungsdaten (z.B. HTTP-Anfragen und -Antworten über HTTPS) fließen sicher durch diesen Tunnel, völlig undurchsichtig für den Proxy.

Vorteile des CONNECT-Tunnelings

• Ende-zu-Ende-Verschlüsselung: Der Hauptvorteil ist die Bewahrung der Ende-zu-Ende-Verschlüsselung. Der Proxy sieht niemals den Klartextinhalt der Kommunikation, wodurch die Vertraulichkeit und Integrität der Daten zwischen Client und Ursprungsserver gewährleistet wird.
• Protokollagnostisch: Obwohl hauptsächlich für HTTPS verwendet, kann die CONNECT-Methode jedes TCP-basierte Protokoll tunneln. Da der Proxy nach dem Tunnelaufbau einfach rohe Bytes weiterleitet, muss er das gekapselte Protokoll nicht verstehen.
• Firewall-Traversal: CONNECT ermöglicht Clients hinter restriktiven Firewalls den Zugriff auf externe Dienste (z.B. sichere Websites), indem der gesamte Datenverkehr durch einen einzigen, erlaubten Proxy-Port (häufig 80 oder 443) geleitet wird.
• Datenschutz: Da der Proxy die getunnelten Daten nicht inspiziert, bleibt der Inhalt der Kommunikation zwischen dem Client und dem Ziel privat.

Sicherheitsüberlegungen

Standard CONNECT vs. SSL/TLS-Abfang-Proxys

Ein Standard-CONNECT-Proxy, wie beschrieben, arbeitet als blindes Relay. Er führt keinen Man-in-the-Middle (MITM)-Angriff durch; er entschlüsselt, inspiziert oder verschlüsselt den HTTPS-Verkehr nicht erneut. Der Browser des Clients verifiziert das Zertifikat des Ursprungsservers direkt und gewährleistet so die Authentizität der Verbindung.

Im Gegensatz dazu führen einige spezialisierte Proxy-Lösungen, oft als "SSL/TLS-Inspektions-Proxys" oder "Abfang-Proxys" bezeichnet, tatsächlich einen MITM-Angriff durch. Diese Proxys sind darauf ausgelegt, verschlüsselten Datenverkehr zu entschlüsseln und zu inspizieren, um Zwecke wie Inhaltsfilterung, Verhinderung von Datenverlust (DLP) oder Bedrohungserkennung zu erfüllen. Ihre Funktionsweise umfasst:

1. Abfangen der CONNECT-Anfrage des Clients.
2. Aufbau einer eigenen TLS-Verbindung zum Ursprungsserver.
3. Dynamisches Generieren eines neuen SSL-Zertifikats für die angeforderte Domain, signiert von einer benutzerdefinierten Root-Zertifizierungsstelle (CA), die vom Proxy-Besitzer kontrolliert wird.
4. Präsentation dieses vom Proxy generierten Zertifikats an den Client.
5. Wenn der Client so konfiguriert ist, dass er der benutzerdefinierten Root-CA des Proxys vertraut (typischerweise durch Installation im Vertrauensspeicher des Betriebssystems), akzeptiert er das Zertifikat und stellt eine TLS-Verbindung mit dem Proxy her.
6. Der Proxy unterhält dann effektiv zwei separate TLS-Verbindungen: eine mit dem Client und eine mit dem Ursprungsserver. Dies ermöglicht es ihm, den Datenverkehr vom Client zu entschlüsseln, zu inspizieren und erneut zu verschlüsseln, bevor er ihn an den Ursprung weiterleitet, und umgekehrt.

Ohne dass der Client dem Root-CA-Zertifikat des Proxys explizit vertraut, würde der Browser des Clients schwerwiegende Zertifikatswarnungen anzeigen, die auf ein potenzielles Sicherheitsrisiko hinweisen. Unser Dienst arbeitet als Standard-CONNECT-Proxy und wahrt die Integrität der Ende-zu-Ende-Verschlüsselung ohne Abfangen.

Proxy-Konfiguration und CONNECT

Wenn eine Client-Anwendung oder ein Webbrowser für die Verwendung eines HTTP-Proxys konfiguriert ist, entscheidet er automatisch, ob eine Standard-HTTP-Methode (wie GET oder POST für unverschlüsseltes HTTP) oder die CONNECT-Methode (für verschlüsseltes HTTPS) verwendet werden soll, basierend auf dem Schema der Ziel-URL.

Wenn beispielsweise ein Browser für die Verwendung von proxy.example.com:8080 konfiguriert ist:
* Eine Anfrage an http://www.unencrypted.com führt dazu, dass GET http://www.unencrypted.com HTTP/1.1 an proxy.example.com:8080 gesendet wird.
* Eine Anfrage an https://www.encrypted.com führt dazu, dass CONNECT www.encrypted.com:443 HTTP/1.1 an proxy.example.com:8080 gesendet wird.

Vergleich: HTTP-Proxy vs. HTTPS-Proxy (via CONNECT)

Praktische Auswirkungen für Benutzer

Die Nutzung eines Proxy-Dienstes, der die CONNECT-Methode unterstützt, stellt sicher, dass Ihr HTTPS-Verkehr zwischen Ihrem Client und dem Zielserver sicher und privat bleibt. Unser Dienst ist darauf ausgelegt, Ihre verschlüsselten Kommunikationen ohne Abfangen oder Modifikation zu tunneln, wodurch die Ende-zu-Ende-Verschlüsselung erhalten bleibt.

• Firewall-Kompatibilität: Wenn Sie einen Client für die Verwendung eines Proxys konfigurieren, stellen Sie sicher, dass die lokalen Firewall-Regeln ausgehende Verbindungen zur IP-Adresse und zum Port des Proxy-Servers zulassen (z.B. proxy.service.com:8080). Der Proxy verwaltet dann die Verbindung zum endgültigen Ziel.
• Leistung: Der mit dem CONNECT-Tunneling verbundene Overhead ist minimal und umfasst hauptsächlich die anfängliche CONNECT-Anfrage und -Antwort. Sobald der Tunnel etabliert ist, hängt die Datenübertragungsleistung weitgehend von der Netzwerklatenz und Bandbreite zwischen dem Client, dem Proxy und dem Ursprungsserver ab.
• Fehlerbehebung: Wenn Probleme mit HTTPS-Sites bei der Verwendung des Proxys auftreten, überprüfen Sie Folgendes:
  • Korrekte Proxy-Host- und Port-Konfiguration in der Client-Anwendung oder im Browser.
  • Erfolgreiche Netzwerkverbindung von Ihrem Client zum Proxy-Server.
  • Dass der Proxy-Server nicht so konfiguriert ist, dass er den Zugriff auf den spezifischen Zielhost oder Port blockiert.