HTTPS攔截

Question

我對SSL沒有太多瞭解，但是我已經閱讀了一些內容，並且想知道是否可以攔截客戶端和服務器之間的通信（例如，公司可以監控員工數據傳輸？）。 我認爲這是一項艱鉅的任務，但它看起來很簡單。當客戶端請求https連接時，路由器可以被指示攔截密鑰交換，併發送給服務器和客戶端它自己的公鑰（進一步它可以對空洞流量進行編碼/解碼）。 這是真的，還是我誤解了一些東西？

Answer 1

如果你的控制下，CA在員工使用的所有瀏覽器都被信任它很容易成爲可能：

公司代理需要創建類似的證書即時簽發原始證書，並將這些證書提交給客戶。所有的信息都可以從真實的證書中獲得，唯一的區別是在CA簽署證書。

但是，至少谷歌瀏覽器會爲谷歌擁有的域名投訴，因爲他們有一個明確的白名單，CA可以簽署用於谷歌域名的證書。

Answer 2

部分正確：您描述的過程可以正常工作，但會通知客戶端服務器證書不是預期的（未經認證，分配給其他站點）。所以不可能透明地做到這一點，如果他們不知道，但在企業環境中這可能是可以接受的。

Answer 3

在公司網絡中，公司擁有SSL CA：s通常安裝在所有機器上。在這種情況下，公司代理可以提供將被瀏覽器接受的公司證書，並讀取流量。

我看看證書詳細信息（在瀏覽器的地址欄中找到），可以檢查它是否是遠程服務器的預期證書，或者是否是由公司創建的另一證書。

您可以使用例如http://www.sslshopper.com/ssl-checker.html#hostname=www.google.com來檢查它應該是什麼證書。 （顯然更改主機名到任何服務器是您要使用）