Inspekcja HTTPS i certyfikaty TLS
Mam pewne trudności ze zrozumieniem następującej koncepcji:
Gdy inspekcja HTTPS (wychodząca) jest włączona na zaporze sieciowej NextGen (NGFW), np. CheckPoint, certyfikat musi być zainstalowany na NGFW. Te certyfikaty (lub przynajmniej główny / pośredni) należy wypchnąć lub zainstalować na klientach, aby móc „zaufać” certyfikatowi NGFW.
W jaki sposób inspekcja HTTPS może zakończyć się pomyślnie, jeśli na przykład przeglądarka widzi, że przedmiot certyfikatu (zainstalowany na NGFW) nie jest zgodny z nazwą domeny / adresem URL żądanej witryny internetowej?
Krótko mówiąc: chociaż certyfikat NGFW jest uważany przez klienta za zaufany na poziomie CA, nadal widzi, że nie jest połączony z serwerem, do którego ma dotrzeć, i dlatego rozpoznaje atak MITM. A może coś mi brakuje?
Odpowiedzi
Certyfikat używany do przechwytywania TLS nie jest certyfikatem serwera, ale certyfikatem CA. Nie jest używany do uwierzytelniania przechwyconego serwera. Zamiast tego nowy certyfikat zostanie dynamicznie utworzony dla każdego odwiedzanego serwera, a ten nowy certyfikat serwera zostanie podpisany przez przechwytujący certyfikat ośrodka proxy.
W kliencie dynamicznie tworzony certyfikat serwera przejdzie zwykłe kontrole, tj. Dopasowanie tematu, wygaśnięcie itp. - wszystko pasuje, ponieważ został specjalnie utworzony jako zamiennik oryginalnego certyfikatu witryn. Łańcuch zaufania również pasuje, ponieważ proxy CA zostało jawnie zaimportowane do klienta jako zaufane.