Was macht TLS-Inspection auf der Firewall kaputt?

Mehr, als viele erwarten. Um HTTPS zu prüfen, beendet die Firewall oder der Proxy jede Verbindung, entschlüsselt und untersucht sie und baut eine neue verschlüsselte Verbindung zum echten Server auf, wobei sie ein eigenes Zertifikat vorlegt, signiert von einer Firmen-Stammzertifizierungsstelle, die auf jedem verwalteten Gerät installiert ist. Die Nebenwirkungen: Apps mit Certificate Pinning, viele Updater, manche Banking- und Gesundheits-Apps und Teile von Cloud-Diensten lehnen das Ersatzzertifikat ab, die Ausnahmelisten wachsen also ständig; nicht verwaltete Geräte, Gäste und Maschinen lassen sich gar nicht prüfen; der Proxy wird zu einem Ort, der entschlüsselten Verkehr samt personenbezogener Daten hält, was Fragen zu DSGVODSGVO: Datenschutz-Grundverordnung. Das EU-Datenschutzrecht (Verordnung (EU) 2016/679). und Betriebsrat aufwirft; ältere Proxys unterstützen neuere TLSTLS: Transport Layer Security. Die Verschlüsselung, die den Großteil des Internetverkehrs schützt, etwa HTTPS.-Funktionen oder die neuen hybriden Post-Quanten-Gruppen womöglich nicht und schwächen Verbindungen still; und die Prüfung kostet Leistung. Sie hat trotzdem ihren Platz, etwa zum Scannen von Downloads auf verwalteten Laptops. Viele Bedrohungen sind aber auch ohne sie sichtbar. Diesen Weg geht NetSenX: Es entschlüsselt nie und arbeitet mit Metadaten und dem unverschlüsselten Handshake.

← Alle 40 Fragen zu Verschlüsselung und verschlüsselter VerkehrAlle Themen