<div dir="ltr">Dear Amos,<div><br></div><div>Thank you for these insights.  I appreciate the clarification on Ssl Sever Cert Validator, and am putting in place your list of basics.</div><div><br></div><div>-Masha<br></div></div><div class="gmail_extra"><br><div class="gmail_quote">On Sat, May 13, 2017 at 5:36 AM, Amos Jeffries <span dir="ltr"><<a href="mailto:squid3@treenet.co.nz" target="_blank">squid3@treenet.co.nz</a>></span> wrote:<br><blockquote class="gmail_quote" style="margin:0 0 0 .8ex;border-left:1px #ccc solid;padding-left:1ex"><span class="">On 13/05/17 14:33, Masha Lifshin wrote:<br>
<blockquote class="gmail_quote" style="margin:0 0 0 .8ex;border-left:1px #ccc solid;padding-left:1ex">
Dear Squid Users list,<br>
<br>
I have a Squid 4 configured as explicit proxy with ssl-bump interception.  I am working on making it as secure as possible, given the vulnerability risks with doing ssl inspection (<a href="https://insights.sei.cmu.edu/cert/2015/03/the-risks-of-ssl-inspection.html" rel="noreferrer" target="_blank">https://insights.sei.cmu.edu/<wbr>cert/2015/03/the-risks-of-ssl-<wbr>inspection.html</a>).<br>
<br>
I am implementing the hardening suggestions at <a href="http://wiki.squid-cache.org/ConfigExamples/Intercept/SslBumpExplicit" rel="noreferrer" target="_blank">http://wiki.squid-cache.org/Co<wbr>nfigExamples/Intercept/SslBump<wbr>Explicit</a><br>
<br>
One other feature I have found is the SSL Server Certificate Validator.  As far as I understand one can write a helper that performs additional certificate validation checks that squid doesn't perform out of the box?<br>
</blockquote>
<br></span>
Yes. However, do not expect to use it as an alternative to what Squid already validates. Disabling validation (eg the DONT_VERIFY_* flags) includes disabling use of the helper as well.<span class=""><br>
<br>
<blockquote class="gmail_quote" style="margin:0 0 0 .8ex;border-left:1px #ccc solid;padding-left:1ex">
  Does anyone know of any widely agreed upon open source helpers, or is this something where people are rolling their own?<br>
</blockquote>
<br></span>
AFAIK this is something a very few people are implementing on their own. Squid validates the whole cert chain using the normal OpenSSL library mechanisms regardless of this helper, so it is most useful for unusual types of checks (eg DANE).<span class=""><br>
<br>
<blockquote class="gmail_quote" style="margin:0 0 0 .8ex;border-left:1px #ccc solid;padding-left:1ex">
<br>
Are there other configuration options that can help?  I am curious what else others in the community are doing along these lines, and if there are recommended best practices in the squid community?  I appreciate your insights.<br>
</blockquote>
<br></span>
The features are still under constant development, so best practices are almost as volatile as the code. The basics I'm recommending for now are:<br>
<br>
0) don't bump. treat it as a last resort.<br>
<br>
1) use cert mimic to pass problems on to the client.<br>
<br>
2) avoid client-first and equivalent (step1) bumping.<br>
<br>
3) follow TLS best practices to harden.<br>
<br>
<br>
Amos<br>
<br>
______________________________<wbr>_________________<br>
squid-users mailing list<br>
<a href="mailto:squid-users@lists.squid-cache.org" target="_blank">squid-users@lists.squid-cache.<wbr>org</a><br>
<a href="http://lists.squid-cache.org/listinfo/squid-users" rel="noreferrer" target="_blank">http://lists.squid-cache.org/l<wbr>istinfo/squid-users</a><br>
</blockquote></div><br></div>