Может ли прокси изменить сертификат SSL?

Я заметил интересную вещь. Каждый раз, когда я получаю доступ к сайту с поддержкой SSL, например chase.com, в моей компании. Сертификат SSL не от известного CA, такого как VeriSign, а от ИТ-отдела моей компании. Мы используем динамический прокси (я не знаю, как объяснить, но мы не обязательно его настраиваем в разделе подключения IE- > ) для каждого доступа в Интернет. Я предполагал, что прокси-сервер изменяет сертификат SSL на наш собственный сертификат. Мое предположение: каждый раз, когда начинается соединение SSL, прокси принимает мой запрос HTTPS, получает сертификат (позвольте ему SSL_Chase, как для SSL, так и для симметричного ключа для шифрования данных) с веб-сайта, например, chase, измените сертификат на наши собственные ИТ-услуги сертификат (позвоните на него SSL_IT) и отправьте его мне. Я заполняю имя пользователя и passowrd, мою машину, использующую SSL_IT для шифрования моих данных, и наш прокси-сервер получает его и unencrype. Затем прокси encrype использует SSL_Chase и отправляется на преследование. Итак, погоня думает, что наш прокси-сервер - это я, и я думаю, что наш прокси-сервер - это преследование, за исключением того, что ИТ-сертификат не из погони (я думаю, что большинство пользователей этого не заметят). Это означает, что ИТ-отдел знает все, что мы отправляем, чтобы преследовать и преследовать меня! Мне было интересно, возможно ли мое предположение, с точки зрения алгоритма SSL-соединения. Надеюсь, кто-нибудь может дать мне подсказку.

Спасибо большое!

Ответ 1

Вероятно, это выглядит так: у вас есть сертификат вашего ИТ-отдела в качестве доверенного корневого сертификата на вашем компьютере. Когда вы просматриваете адрес HTTPS, прокси генерирует сертификат для этого сайта "на лету", подписанный сертификатом, который доверяет вашему сайту. Затем вы связываетесь с вашим прокси, а прокси-сервер общается с реальным сайтом. Обе "ноги" путешествия превышают SSL/TLS, поэтому вы можете быть в безопасности от случайного человека посередине, но ваш ИТ-отдел теоретически может просмотреть все сообщения.

Ответ 2

Это классический подход "человек в середине", с точки зрения прокси. Обязанность вашего браузера предупреждать вас о том, что представленный сертификат не соответствует сайту, который вы посещаете. Если вы используете IE, ваш ИТ-отдел скорее всего подтолкнул соответствующий ЦС к вам как доверенный ЦС, поэтому ваш браузер доверяет ему автоматически. Для других браузеров, не использующих Windows Cert Store, это также возможно, но немного сложнее сделать. В любом случае, ничего не подозревающего пользователя можно заставить полагать, что информация передается по прямой ссылке SSL на Chase, когда это не так. В любом случае вы все равно должны получить предупреждение обозревателя, если прокси-сервер имеет соответствующую функцию для глагола CONNECT.

Ответ 3

Да, прокси-сервер может действовать как Человек в середине.