Добавление дополнительных доверенных сертификатов root CA в mitmproxy

Question

Я пытаюсь настроить mitmproxy таким образом, чтобы он принимал определенные сертификаты вышестоящего сервера, которые не являются доверенными по умолчанию.

Я не хочу использовать параметр --ssl-insecure, поскольку он полностью отключает проверку всех сертификатов для восходящие соединения.

Я попробовал опцию ssl_verify_upstream_trusted_ca, которая позволяет мне указать один файл PEM, в котором хранятся сертификаты, проблема в том, что при использовании этой опции эти сертификаты не добавляются как дополнительные доверенные сертификаты, вместо этого он заменяет список доверенные сертификаты CA. Поэтому при использовании этой опции mitmproxy больше не доверяет сертификатам CA по умолчанию, только тем, которые я указал. Поскольку доверенные сертификаты CA по умолчанию указываются ОС и регулярно обновляются, я не хочу их исключать.

Как мне указать набор доверенных root сертификатов CA для mitmproxy, которым доверяют дополнительно?

Answer 1

mitmproxy использует certifi в качестве root доверия по умолчанию, а не сертификаты вашей ОС. Мы бы хотели это сделать, но с OpenSSL это невероятно больно.

В любом случае, возьмите это и объедините с вашими пользовательскими сертификатами.