Come fare una richiesta HTTPS con certificato non valido?

Di 'che voglio ottenere https://golang.orgprogrammaticamente. Attualmente golang.org (ssl) ha un certificato non valido che viene rilasciato a *.appspot.comQuindi quando eseguo questo:

package main

import (
    "log"
    "net/http"
)

func main() {
    _, err := http.Get("https://golang.org/")
    if err != nil {
        log.Fatal(err)
    }
}

Ottengo (come mi aspettavo)

Get https://golang.org/: certificate is valid for *.appspot.com, *.*.appspot.com, appspot.com, not golang.org

Ora, voglio fidarmi di questo certificato (immagina un certificato auto-emesso in cui posso convalidare l'impronta digitale ecc.): Come posso fare una richiesta e convalidare / fidarmi del certificato?

Probabilmente ho bisogno di usare openssl per scaricare il certificato, caricarlo nel mio file e riempire tls.Configstruct!?

Nota sulla sicurezza: disabilitare i controlli di sicurezza è pericoloso e dovrebbe essere evitato

È possibile disabilitare i controlli di sicurezza a livello globale per tutte le richieste del client predefinito:

package main

import (
    "fmt"
    "net/http"
    "crypto/tls"
)

func main() {
    http.DefaultTransport.(*http.Transport).TLSClientConfig = &tls.Config{InsecureSkipVerify: true}
    _, err := http.Get("https://golang.org/")
    if err != nil {
        fmt.Println(err)
    }
}

È possibile disabilitare il controllo di sicurezza per un client:

package main

import (
    "fmt"
    "net/http"
    "crypto/tls"
)

func main() {
    tr := &http.Transport{
        TLSClientConfig: &tls.Config{InsecureSkipVerify: true},
    }
    client := &http.Client{Transport: tr}
    _, err := client.Get("https://golang.org/")
    if err != nil {
        fmt.Println(err)
    }
}

Ecco un modo per farlo senza perdere le impostazioni predefinite di DefaultTransport, e senza bisogno della falsa richiesta come da commento dell'utente.

defaultTransport := http.DefaultTransport.(*http.Transport)

// Create new Transport that ignores self-signed SSL
customTransport := &http.Transport{
  Proxy:                 defaultTransport.Proxy,
  DialContext:           defaultTransport.DialContext,
  MaxIdleConns:          defaultTransport.MaxIdleConns,
  IdleConnTimeout:       defaultTransport.IdleConnTimeout,
  ExpectContinueTimeout: defaultTransport.ExpectContinueTimeout,
  TLSHandshakeTimeout:   defaultTransport.TLSHandshakeTimeout,
  TLSClientConfig:       &tls.Config{InsecureSkipVerify: true},
}

AGGIORNARE

Modo più breve:

customTransport := &(*http.DefaultTransport.(*http.Transport)) // make shallow copy
customTransport.TLSClientConfig = &tls.Config{InsecureSkipVerify: true}

Modo corretto (a partire da Go 1.13) (fornito dalla risposta di seguito ):

customTransport := http.DefaultTransport.(*http.Transport).Clone()
customTransport.TLSClientConfig = &tls.Config{InsecureSkipVerify: true}

Avvertenza : solo a scopo di test / sviluppo. Nient'altro, procedi a tuo rischio e pericolo !!!

Tutte queste risposte sono sbagliate! Non utilizzare InsecureSkipVerifyper gestire una CN che non corrisponde al nome host. Gli sviluppatori Go sono stati sgarbatamente irremovibili di non disabilitare i controlli dei nomi host (che hanno usi legittimi - tunnel, nat, certificati cluster condivisi, ecc.), Pur avendo qualcosa che sembra simile ma in realtà ignora completamente il controllo del certificato. Devi sapere che il certificato è valido e firmato da un certificato di cui ti fidi. Ma in scenari comuni, sai che la CN non corrisponderà al nome host con cui ti sei connesso. Per chi, impostare ServerNamesu tls.Config. Se tls.Config.ServerName== remoteServerCN, il controllo del certificato avrà esito positivo. Questo è quello che vuoi. InsecureSkipVerifysignifica che NON esiste autenticazione; ed è maturo per un Man-In-The-Middle; sconfiggere lo scopo dell'utilizzo di TLS.

C'è un uso legittimo per InsecureSkipVerify: usarlo per connettersi a un host e prendere il suo certificato, quindi disconnettersi immediatamente. Se configuri il tuo codice per l'uso InsecureSkipVerify, è generalmente perché non hai impostato ServerNamecorrettamente (dovrà provenire da un ambiente o qualcosa del genere - non mal di pancia per questo requisito ... fallo correttamente).

In particolare, se usi certificati client e fai affidamento su di essi per l'autenticazione, in pratica hai un accesso falso che in realtà non effettua più l'accesso. Rifiuta il codice che lo fa InsecureSkipVerify, o imparerai cosa c'è di sbagliato in esso nel modo più duro!

Il modo corretto per eseguire questa operazione se si desidera mantenere le impostazioni di trasporto predefinite è ora (a partire da Go 1.13):

customTransport := http.DefaultTransport.(*http.Transport).Clone()
customTransport.TLSClientConfig = &tls.Config{InsecureSkipVerify: true}
client = &http.Client{Transport: customTransport}

Transport.Clone esegue una copia approfondita del trasporto. In questo modo non devi preoccuparti di perdere nuovi campi che vengono aggiunti alla Transportstruttura nel tempo.

Se si desidera utilizzare le impostazioni predefinite dal pacchetto http, quindi non è necessario creare un nuovo oggetto Transport and Client, è possibile modificare per ignorare la verifica del certificato in questo modo:

tr := http.DefaultTransport.(*http.Transport)
tr.TLSClientConfig.InsecureSkipVerify = true

In genere, il dominio DNS dell'URL DEVE corrispondere all'oggetto certificato del certificato.

In passato ciò poteva avvenire impostando il dominio come cn del certificato o impostando il dominio come Nome alternativo soggetto.

Il supporto per cn è stato deprecato per molto tempo (dal 2000 in RFC 2818 ) e il browser Chrome non guarderà più nemmeno il cn, quindi oggi è necessario avere il dominio DNS dell'URL come nome alternativo soggetto.

RFC 6125 che proibisce il controllo del cn se è presente il dominio SAN per DNS, ma non se è presente l'indirizzo SAN per IP. RFC 6125 ripete anche che cn è deprecato, come già detto in RFC 2818. E 'presente il forum del browser dell'autorità di certificazione che, in combinazione con RFC 6125, significa essenzialmente che cn non verrà mai controllato per il nome di dominio DNS.