Co psuje inspekcja TLS na zaporze?

Więcej, niż się zwykle zakłada. Aby sprawdzać HTTPS, zapora lub proxy kończy każde połączenie, deszyfruje je, analizuje i otwiera nowe szyfrowane połączenie z prawdziwym serwerem, przedstawiając własny certyfikat podpisany firmowym certyfikatem głównym zainstalowanym na każdym zarządzanym urządzeniu. Skutki uboczne: aplikacje z przypinaniem certyfikatów, wiele mechanizmów aktualizacji, część aplikacji bankowych i medycznych oraz fragmenty usług chmurowych odrzucają podstawiony certyfikat, więc listy wyjątków stale rosną; urządzeń niezarządzanych, gości i maszyn w ogóle nie da się sprawdzić; proxy staje się jednym miejscem przechowującym odszyfrowany ruch, także dane osobowe, co rodzi pytania o RODORODO: ogólne rozporządzenie o ochronie danych. Unijne prawo o ochronie danych osobowych (rozporządzenie (UE) 2016/679). i rolę przedstawicieli pracowników; starsze proxy mogą nie obsługiwać nowszych funkcji TLSTLS: Transport Layer Security. Szyfrowanie, które chroni większość ruchu w internecie, na przykład HTTPS. ani nowych hybrydowych grup postkwantowych i po cichu osłabiać połączenia; a inspekcja kosztuje wydajność. Nadal ma swoje miejsce, na przykład do skanowania pobieranych plików na zarządzanych laptopach. Wiele zagrożeń widać jednak i bez niej. Takie podejście przyjął NetSenX: nigdy nie deszyfruje i pracuje na metadanych oraz nieszyfrowanym handshake'u.

← Wszystkie pytania (40): Szyfrowanie i ruch szyfrowanyWszystkie tematy