HTTPS-Inspektion und TLS-Zertifikate
Ich habe einige Schwierigkeiten, mich mit dem folgenden Konzept zu beschäftigen:
Wenn die HTTPS-Prüfung (ausgehend) in einer NextGen-Firewall (NGFW), z. B. CheckPoint, aktiviert ist, muss auf dem NGFW ein Zertifikat installiert werden. Diese Zertifikate (oder zumindest das Root / Intermediate) müssen auf den Clients übertragen oder installiert werden, um dem NGFW-Zertifikat "vertrauen" zu können.
Wie kann eine HTTPS-Überprüfung erfolgreich sein, wenn beispielsweise ein Browser feststellt, dass der Betreff des zertifizierten (auf dem NGFW installierten) nicht mit dem Domainnamen / der URL der angeforderten Website übereinstimmt?
Kurz gesagt: Obwohl das Zertifikat des NGFW vom Client auf CA-Ebene als vertrauenswürdig angesehen wird, sieht es dennoch, dass es nicht mit dem Server verbunden ist, den es erreichen soll, und erkennt daher einen MITM-Angriff. Oder fehlt mir etwas?
Antworten
Das beim Abfangen von TLS verwendete Zertifikat ist kein Serverzertifikat, sondern ein CA-Zertifikat. Es wird nicht verwendet, um den abgefangenen Server selbst zu authentifizieren. Stattdessen wird dynamisch ein neues Zertifikat für jeden besuchten Server erstellt und dieses neue Serverzertifikat wird vom CA-Zertifikat der abfangenden Proxys signiert.
Im Client wird das dynamisch erstellte Serverzertifikat den üblichen Überprüfungen unterzogen, dh dem passenden Betreff, dem Ablaufdatum usw. - alles passt, da es speziell als Ersatz für das ursprüngliche Standortzertifikat erstellt wurde. Die Vertrauenskette passt auch, da die Proxy-Zertifizierungsstelle explizit als vertrauenswürdig in den Client importiert wurde.