Comment faire une requête https avec un mauvais certificat?

Disons que je veux être https://golang.orgprogrammé. Actuellement, golang.org (ssl) a un mauvais certificat qui est émis à *.appspot.comSo quand je lance ceci:

package main

import (
    "log"
    "net/http"
)

func main() {
    _, err := http.Get("https://golang.org/")
    if err != nil {
        log.Fatal(err)
    }
}

Je reçois (comme je m'y attendais)

Get https://golang.org/: certificate is valid for *.appspot.com, *.*.appspot.com, appspot.com, not golang.org

Maintenant, je veux faire confiance à ce certificat moi-même (imaginez un certificat auto-émis où je peux valider une empreinte digitale, etc.): comment puis-je faire une demande et valider / faire confiance au certificat?

J'ai probablement besoin d'utiliser openssl pour télécharger le certificat, le charger dans mon fichier et remplir tls.Configstruct!?

Note de sécurité: la désactivation des contrôles de sécurité est dangereuse et doit être évitée

Vous pouvez désactiver globalement les contrôles de sécurité pour toutes les demandes du client par défaut:

package main

import (
    "fmt"
    "net/http"
    "crypto/tls"
)

func main() {
    http.DefaultTransport.(*http.Transport).TLSClientConfig = &tls.Config{InsecureSkipVerify: true}
    _, err := http.Get("https://golang.org/")
    if err != nil {
        fmt.Println(err)
    }
}

Vous pouvez désactiver le contrôle de sécurité pour un client:

package main

import (
    "fmt"
    "net/http"
    "crypto/tls"
)

func main() {
    tr := &http.Transport{
        TLSClientConfig: &tls.Config{InsecureSkipVerify: true},
    }
    client := &http.Client{Transport: tr}
    _, err := client.Get("https://golang.org/")
    if err != nil {
        fmt.Println(err)
    }
}

Voici un moyen de le faire sans perdre les paramètres par défaut du DefaultTransport, et sans avoir besoin de la fausse demande selon le commentaire de l'utilisateur.

defaultTransport := http.DefaultTransport.(*http.Transport)

// Create new Transport that ignores self-signed SSL
customTransport := &http.Transport{
  Proxy:                 defaultTransport.Proxy,
  DialContext:           defaultTransport.DialContext,
  MaxIdleConns:          defaultTransport.MaxIdleConns,
  IdleConnTimeout:       defaultTransport.IdleConnTimeout,
  ExpectContinueTimeout: defaultTransport.ExpectContinueTimeout,
  TLSHandshakeTimeout:   defaultTransport.TLSHandshakeTimeout,
  TLSClientConfig:       &tls.Config{InsecureSkipVerify: true},
}

METTRE À JOUR

Chemin plus court:

customTransport := &(*http.DefaultTransport.(*http.Transport)) // make shallow copy
customTransport.TLSClientConfig = &tls.Config{InsecureSkipVerify: true}

Bonne manière (à partir de Go 1.13) (fournie par la réponse ci-dessous ):

customTransport := http.DefaultTransport.(*http.Transport).Clone()
customTransport.TLSClientConfig = &tls.Config{InsecureSkipVerify: true}

avertissement : à des fins de test / développement uniquement. Sinon, procédez à vos risques et périls !!!

Toutes ces réponses sont fausses! Ne pas utiliser InsecureSkipVerifypour traiter un CN qui ne correspond pas au nom d'hôte. Les développeurs de Go ont été imprudemment catégoriques sur le fait de ne pas désactiver les vérifications de nom d'hôte (qui ont des utilisations légitimes - tunnels, nats, certificats de cluster partagés, etc.), tout en ayant quelque chose qui semble similaire mais qui ignore complètement la vérification des certificats. Vous devez savoir que le certificat est valide et signé par un certificat de confiance. Mais dans les scénarios courants, vous savez que le CN ne correspondra pas au nom d'hôte avec lequel vous vous êtes connecté. Pour ceux -ci , mis ServerNamesur tls.Config. Si tls.Config.ServerName== remoteServerCN, la vérification du certificat réussira. Voici ce que tu veux. InsecureSkipVerifysignifie qu'il n'y a PAS d'authentification; et c'est mûr pour un homme du milieu; vaincre l'objectif de l'utilisation de TLS.

Il y a une utilisation légitime pour InsecureSkipVerify: l'utiliser pour se connecter à un hôte et récupérer son certificat, puis se déconnecter immédiatement. Si vous configurez votre code à utiliser InsecureSkipVerify, c'est généralement parce que vous ne l'avez pas défini ServerNamecorrectement (il devra provenir d'une variable d'environnement ou quelque chose - ne vous inquiétez pas de cette exigence ... faites-le correctement).

En particulier, si vous utilisez des certificats clients et que vous comptez sur eux pour l'authentification, vous avez essentiellement une fausse connexion qui ne se connecte plus. Refusez le code qui le fait InsecureSkipVerify, ou vous apprendrez ce qui ne va pas à la dure!

La bonne façon de procéder si vous souhaitez conserver les paramètres de transport par défaut est maintenant (à partir de Go 1.13):

customTransport := http.DefaultTransport.(*http.Transport).Clone()
customTransport.TLSClientConfig = &tls.Config{InsecureSkipVerify: true}
client = &http.Client{Transport: customTransport}

Transport.Clone fait une copie complète du transport. De cette façon, vous n'avez pas à vous soucier de manquer de nouveaux champs ajoutés à la Transportstructure au fil du temps.

Si vous souhaitez utiliser les paramètres par défaut du package http, vous n'avez donc pas besoin de créer un nouvel objet Transport et client, vous pouvez modifier pour ignorer la vérification du certificat comme ceci:

tr := http.DefaultTransport.(*http.Transport)
tr.TLSClientConfig.InsecureSkipVerify = true

En général, le domaine DNS de l'URL DOIT correspondre au sujet du certificat du certificat.

Autrefois, cela pouvait être soit en définissant le domaine comme cn du certificat, soit en définissant le domaine comme un autre nom de sujet.

La prise en charge de cn a été abandonnée pendant longtemps (depuis 2000 dans la RFC 2818 ) et le navigateur Chrome ne regardera même plus le cn.Aujourd'hui, vous devez avoir le domaine DNS de l'URL comme autre nom de sujet.

RFC 6125 qui interdit de vérifier le cn si SAN pour DNS Domain est présent, mais pas si SAN pour IP Address est présent. La RFC 6125 répète également que cn est obsolète, ce qui était déjà dit dans la RFC 2818. Et la présence du forum du navigateur de l'autorité de certification qui, en combinaison avec la RFC 6125, signifie essentiellement que cn ne sera jamais vérifié pour le nom de domaine DNS.