HTTPS攔截

Question

我對SSL知之甚少，但我讀過一些東西，我想知道是否有可能攔截客戶端和服務器之間的通信（例如，公司可以監控員工的數據傳輸？）。 我認為這是一項艱巨的任務，但看起來很簡單。 當客戶端請求https連接時，可以指示路由器攔截密鑰交換並向服務器和客戶端發送它自己的公鑰（進一步它可以對空洞流量進行編碼/解碼）。 是真的，還是我誤解了什么？

Answer 1

如果您所控制的CA在員工使用的所有瀏覽器中都受信任，則可以輕松實現：

公司代理需要動態創建類似於原始證書的證書，並將這些證書提供給客戶。 所有信息都可以從真實證書中獲取，唯一的區別在於CA簽署證書。

但是，至少谷歌瀏覽器會抱怨谷歌擁有的域名，因為他們有明確的白名單，CA可能會簽署用於谷歌域名的證書。

Answer 2

在公司網絡中，公司擁有SSL CA：s通常安裝在所有計算機上。 在這種情況下，公司代理可以提供將被瀏覽器接受的公司證書，並讀取流量。

我查看證書詳細信息（可在瀏覽器的地址欄中找到），您可以檢查它是否是遠程服務器的預期證書，或者它是否是公司創建的另一個證書。

您可以使用例如http://www.sslshopper.com/ssl-checker.html#hostname=www.google.com來檢查它應該是什么證書。 （顯然將主機名更改為您要使用的任何服務器）

Answer 3

部分原因是：您描述的流程可以正常工作，但會通知客戶端服務器證書不是預期的（未經認證，分配給其他站點）。 因此，如果沒有他們的知道，就不可能透明地進行，但這在企業環境中是可以接受的。