Kiểm tra HTTPS và chứng chỉ TLS

Question

Tôi gặp một số khó khăn khi xoay quanh khái niệm sau:

Khi tính năng kiểm tra HTTPS (gửi đi) được bật trên Tường lửa NextGen (NGFW), ví dụ: CheckPoint, một chứng chỉ phải được cài đặt trên NGFW. Các chứng chỉ này (hoặc ít nhất là gốc / trung gian) cần được đẩy hoặc cài đặt trên các máy khách để có thể "tin tưởng" chứng chỉ của NGFW.

Làm cách nào để kiểm tra HTTPS thành công nếu, chẳng hạn, một trình duyệt thấy rằng Chủ thể của chứng chỉ (được cài đặt trên NGFW) không khớp với Tên miền / URL của trang web được yêu cầu?

Nói tóm lại: mặc dù chứng chỉ của NGFW được ứng dụng khách ở cấp CA coi là đáng tin cậy, nhưng nó vẫn thấy rằng nó không được kết nối với máy chủ mà nó dự định truy cập và do đó nhận ra một cuộc tấn công MITM. Hay tôi đang thiếu cái gì đó?

Answer 1

Chứng chỉ được sử dụng trong quá trình chặn TLS không phải là chứng chỉ máy chủ mà là chứng chỉ CA. Nó không được sử dụng để xác thực chính máy chủ bị chặn. Thay vào đó, một chứng chỉ mới sẽ được tạo động cho mỗi máy chủ đã truy cập và chứng chỉ máy chủ mới này sẽ được ký bởi chứng chỉ CA chặn proxy.

Trong ứng dụng khách, chứng chỉ máy chủ được tạo động sẽ trải qua các kiểm tra thông thường, tức là đối sánh chủ đề, ngày hết hạn, v.v. - tất cả đều phù hợp vì nó được tạo đặc biệt để thay thế chứng chỉ trang web gốc. Chuỗi tin cậy cũng phù hợp vì CA ủy quyền đã được nhập rõ ràng là đáng tin cậy vào máy khách.