golang：不正な証明書でhttpsリクエストを行うにはどうすればよいですか？

Question

私はhttps://golang.orgをプログラマチックに取得したいと言います。現在golang.org（SSL）は、私が実行するので、とき*.appspot.comに発行された不正な証明書を持っているこの：

package main 

import (
    "log" 
    "net/http" 
) 

func main() { 
    _, err := http.Get("https://golang.org/") 
    if err != nil { 
     log.Fatal(err) 
    } 
} 

（私は期待通りに）私は

Get https://golang.org/: certificate is valid for *.appspot.com, *.*.appspot.com, appspot.com, not golang.org 

は今、私はこれを信頼し得ます自分自身で証明書を発行することができます（私は指紋などの検証が可能な自己発行の証明書を想像してください）：どのようにして証明書を検証し、信頼することができますか？

証明書をダウンロードしてファイルにロードし、tls.Config構造体を入力するには、おそらくopensslを使用する必要があります。

Answer 1

セキュリティに関する注意：セキュリティチェックを無効にすることは危険であり、避けるべきである

あなたは、デフォルトのクライアントのすべての要求のためのグローバルセキュリティチェックを無効にすることができ

：

package main 

import (
    "fmt" 
    "net/http" 
    "crypto/tls" 
) 

func main() { 
    http.DefaultTransport.(*http.Transport).TLSClientConfig = &tls.Config{InsecureSkipVerify: true} 
    _, err := http.Get("https://golang.org/") 
    if err != nil { 
     fmt.Println(err) 
    } 
} 

は、あなたがのためにセキュリティチェックを無効にすることができますクライアント：

package main 

import (
    "fmt" 
    "net/http" 
    "crypto/tls" 
) 

func main() { 
    tr := &http.Transport{ 
     TLSClientConfig: &tls.Config{InsecureSkipVerify: true}, 
    } 
    client := &http.Client{Transport: tr} 
    _, err := client.Get("https://golang.org/") 
    if err != nil { 
     fmt.Println(err) 
    } 
} 

Answer 2

httpパッケージのデフォルト設定を使用する場合は、あなたはこのように証明書の検証を無視するように変更することができ、新しいトランスポートおよびクライアントオブジェクトを作成する必要はありません。

tr := http.DefaultTransport.(*http.Transport) 
tr.TLSClientConfig.InsecureSkipVerify = true 

Answer 3

ここDefaultTransportのデフォルト設定を失うことなく、それを行うための方法だと、必要とせずユーザのコメントごとに偽のリクエスト。

defaultTransport := http.DefaultTransport.(*http.Transport) 

// Create new Transport that ignores self-signed SSL 
httpClientWithSelfSignedTLS := &http.Transport{ 
    Proxy:     defaultTransport.Proxy, 
    DialContext:   defaultTransport.DialContext, 
    MaxIdleConns:   defaultTransport.MaxIdleConns, 
    IdleConnTimeout:  defaultTransport.IdleConnTimeout, 
    ExpectContinueTimeout: defaultTransport.ExpectContinueTimeout, 
    TLSHandshakeTimeout: defaultTransport.TLSHandshakeTimeout, 
    TLSClientConfig:  &tls.Config{InsecureSkipVerify: true}, 
} 

Answer 4

これらの回答はすべて間違っています。ホスト名と一致しないCNを処理する場合は、InsecureSkipVerifyを使用しないでください。 Goの開発者は、トンネル、ナット、共有クラスター証明書などの正当な用途を持っているホスト名のチェックを無効にしないことを馬鹿にしていましたが、実際には似ているものの、実際にはは証明書のチェックを無視します。証明書が有効であり、信頼する証明書によって署名されていることを知る必要があります。しかし、一般的なシナリオでは、CNはあなたが接続したホスト名と一致しないことを知っています。その場合はServerNameをtls.Configに設定してください。 tls.Config.ServerName == remoteServerCNの場合、証明書のチェックは成功します。これはあなたが望むものです。 InsecureSkipVerifyは、認証がないことを意味します。それはマン・イン・ザ・ミドルズにとって熟している。 TLSを使用する目的を破っています。

InsecureSkipVerifyには1つの正当な用途があります。ホストに接続して証明書を取得し、すぐに切断するために使用します。 InsecureSkipVerifyを使用するようにコードを設定した場合は、通常、ServerNameを正しく設定していないためです（env varなどから来る必要があります）。

特に、クライアント証明書を使用して認証に頼っているのであれば、実際にはログインしていない偽のログインが基本的にあります。 InsecureSkipVerifyのコードを拒否するか、難しいことが間違っているかを学びます。