doc/index.texi

   1 \input texinfo
   2 @documentencoding UTF-8
   3 @settitle tofuproxy
   4
   5 @copying
   6 Copyright @copyright{} 2021-2022 @email{stargrave@@stargrave.org, Sergey Matveev}
   7 @end copying
   8
   9 @node Top
  10 @top tofuproxy
  11
  12 @command{tofuproxy} is
  13 @url{https://www.gnu.org/philosophy/free-sw.html, free software}
  14 flexible HTTP/HTTPS proxy server, TLS terminator, X.509 TOFU manager,
  15 @url{https://en.wikipedia.org/wiki/Web_ARChive, WARC} and
  16 @url{https://en.wikipedia.org/wiki/Gemini_(protocol), geminispace}
  17 browser, written on @url{https://golang.org/, Go} with following
  18 capabilities:
  19
  20 @itemize
  21
  22 @item
  23 Full TLS connection termination between Web-servers and
  24 @command{tofuproxy} itself. TLS 1.3, session resumption, GOST
  25 cryptography (if built with @url{http://www.gostls13.cypherpunks.ru/,
  26 gostls13}) support. Connection between @command{tofuproxy} and browser
  27 itself uses ephemeral on-the-fly generated certificates with proper
  28 domain name.
  29
  30 @item
  31 @url{https://http2.github.io/, HTTP/2} (if negotiated with ALPN) and
  32 HTTP keep-alives are supported.
  33
  34 @item
  35 Default Go's @code{crypto/x509} checks are applied to all certificates.
  36 If they pass, then certificate chain is saved on the disk (TOFU,
  37 trust-on-first-use). Future connections are compared against it, warning
  38 you about SPKI change (SPKI pinning) and waiting for your decision
  39 either to accept new chain (possibly once per session), or reject it.
  40 Even if native Go's checks are failed (for example domain still does not
  41 use @code{SubjectAltName} extension), you can still make a decision to
  42 forcefully trust the domain.
  43
  44 @item
  45 Optional @url{https://en.wikipedia.org/wiki/DNS-based_Authentication_of_Named_Entities, DANE-EE} check.
  46
  47 @item
  48 TLS client certificates are supported too.
  49
  50 @item
  51 HTTP-based authorization requests are intercepted and user/password
  52 input dialogue is shown. It automatically loads initial form values from
  53 @file{.netrc}.
  54
  55 @item
  56 Permanent HTTP redirects are replaces with non-refreshing HTML page with
  57 the link, to make you explicitly allow that step. Temporary redirects
  58 are followed if it is neither @url{https://newsboat.org/, Newsboat}
  59 user-agent, not image paths.
  60
  61 @item
  62 JPEG XL, AVIF and WebP images are transparently transcoded to PNG,
  63 giving it back to the browser, not requiring it to support modern
  64 effective image formats.
  65
  66 @item
  67 Ability to load, index and browse WARC web archives, that are possibly
  68 multi-segment/frame compressed with @command{gzip}/@command{zstd}.
  69
  70 @item
  71 Ability to browse geminispace, transparently converting gemfiles to
  72 HTMLs with URL rewriting.
  73
  74 @end itemize
  75
  76 And additional personal preferences:
  77
  78 @itemize
  79
  80 @item
  81 Various spying domains (advertisement, tracking counters) are denied.
  82
  83 @item
  84 @code{HEAD} method is forbidden. Xombrero likes it too much.
  85
  86 @item
  87 @code{www.reddit.com} is redirected to @code{old.reddit.com} (because it
  88 works without JavaScript and looks nicer).
  89
  90 @item
  91 @url{https://habr.com/ru/all/, Хабр}'s resolution reduced images are
  92 redirected to their full size variants.
  93
  94 @item
  95 Web fonts downloads are forbidden.
  96
  97 @end itemize
  98
  99 @include why.texi
 100 @include usage.texi
 101 @include spies.texi
 102 @include certs.texi
 103 @include tlsauth.texi
 104 @include httpauth.texi
 105 @include warcs.texi
 106 @include gemini.texi