Est-il possible pour une entreprise d'intercepter et de déchiffrer le trafic SSL / TLS?
J'ai constaté que certaines entreprises affirment offrir des services qui peuvent éliminer les angles morts SSL/TLS, tels que Blue Coat et Gigamon . Parlent-ils d'un moyen de déchiffrer le contenu https (briser les algorithmes de cryptage) ou simplement d'une attaque de l'homme du milieu? S'il s'agit d'un proxy MITM, puis-je simplement le détecter en vérifiant l'autorité de certification du certificat installé sur mon navigateur?
Ma question est de savoir s'il existe un moyen de surveiller le trafic https sans attaque MITM et s'il est possible pour le proxy MITM de tromper les utilisateurs en montrant des certificats avec de vraies autorités de certification (DigiCert, Comodo), donc je ne peux pas simplement faire la différence en regardant l'autorité de certification.
Installer un certificat racine sur les navigateurs des utilisateurs et mener une attaque MiTM contre les employés est malheureusement une pratique courante dans de nombreuses entreprises.
Il existe plusieurs façons de détecter cela.
Une façon consiste à rechercher un certificat d'autorité de certification racine installé sur votre ordinateur et à voir si vous ne reconnaissez pas l'une des autorités de certification. Bien sûr, cela nécessite une connaissance approfondie de ce que sont les véritables autorités de certification racine et des faux fournisseurs de proxy MitM.
Un autre regarde simplement le certificat qu'un site Web https génère et examine par qui il est signé. Le certificat de tous les sites https sera signé par la société fournissant le proxy d'attaque MiTM.
Une troisième façon consiste à installer Firefox, de préférence une version qui ne s'installe pas et fonctionne de manière autonome. Firefox n'utilise pas les certificats fournis par le système, mais utilise ses propres certificats. Vous pouvez l'obtenir auprès de http://portableapps.com/ Si vous recevez ensuite un avertissement de sécurité concernant un certificat auto-signé, vous êtes MiTMed par votre entreprise.
Il est assez clair qu'ils ne sont pas en mesure de déchiffrer le trafic chiffré pour lequel ils ne possèdent pas de clé de chiffrement. Ils le font plus probablement comme mitmproxy fait; Ils peuvent déployer leur certificat racine sur tous les clients d'une entreprise par des stratégies de groupe par exemple, et sont ensuite en mesure de remplacer tous les certificats des serveurs Web, ... par eux-mêmes car ils sont désormais considérés comme une autorité de certification (autorité de certification) de confiance dans tous clients Web.
Cela leur permettrait de décrypter toutes les connexions cryptées en fonction de tout certificat de la chaîne de certificats émis par leur propre autorité de certification racine. Cette technique est également utilisée par certains logiciels antivirus.
Cela ne fonctionnera pas avec le cryptage symétrique avec un PSK (Phase-Shift Keying), bien sûr.
Blue Coat : comment gagner en visibilité et en contrôle des sessions Web SSL cryptées :
Parce qu'un proxy est un périphérique actif (c'est-à-dire qu'il met fin au trafic), il agit à la fois comme serveur pour le client et client pour le serveur. Ainsi, il a une compréhension native de l'utilisateur et de l'application. Pour de nombreuses organisations, les utilisateurs se connectent uniquement à Internet via un proxy - en raison du contrôle qu'il offre à une entreprise. Étant donné qu'un proxy met fin aux connexions, il offre un point de contrôle extrêmement important pour la stratégie, les performances et la protection de toutes les interactions utilisateur et application Web.
Blue Coat SG est le premier appareil proxy sécurisé, offrant aux entreprises "la puissance du proxy" dans une large gamme de tailles. Blue Coat étend ce leadership en offrant la fonctionnalité de proxy SSL sur son appliance proxy leader du marché.
Considérant que prend une autre approche -décryptage: ( Giamon : décryptage SSL: découvrir le nouvel angle mort de l'infrastructure )
Le déchargement du décryptage SSL élimine également la nécessité d'avoir plusieurs licences de décryptage pour plusieurs outils. Après tout, un dispositif de sécurité avec décryptage SSL intégré, par exemple, ne bénéficie pas à d'autres outils, tels que la surveillance des performances des applications. Gigamon peut fournir simultanément du trafic déchiffré à plusieurs outils, maximisant ainsi l'efficacité, la sécurité et les performances globales de l'infrastructure. Un avantage associé de cette approche est que les clés privées peuvent désormais être téléchargées en toute sécurité vers l'infrastructure de visibilité au lieu de la partager avec plusieurs outils.
Il offre également aux administrateurs informatiques et de sécurité le bon niveau de visibilité sur le trafic, y compris les segments cryptés SSL qui sont au cœur des infrastructures cloud d'aujourd'hui.
GigaSMART déchiffre les paquets et envoie le trafic vers plusieurs outils hors bande, y compris la détection d'intrusion (IDS), la prévention de la perte de données et la surveillance des performances des applications pour analyse.
Il y a donc 4 vulnérabilités courantes dans SSL qui viennent immédiatement à l'esprit:
- Installez un certificat racine sur votre ordinateur qui permet à l'intercepteur d'être une autorité SSL et de créer des certificats SSL falsifiés. Cela nécessite qu'ils aient un accès administratif à votre ordinateur, même si les empreintes digitales SSL seront différentes.
- Effectuez une attaque MITM sur des sites non SSL puis utilisez SSL Stripping lors de la connexion aux sites SSL. HSTS (Strict Transport Security) peut aider à atténuer cela en mettant en cache pendant une période de temps que le site utilise une connexion sécurisée (et en n'autorisant pas les connexions non sécurisées pendant cette période).
- Lorsque la configuration SSL est mal configurée, cela peut être vu par en exécutant le site via un test SSL Labs et en notant les vulnérabilités. Cela peut inclure l'utilisation de chiffrements faibles, l'échange de clés faibles ou l'utilisation de protocoles SSL obsolètes au lieu de passer par TLS.
- l'algorithme de hachage sur le certificat joue également un rôle majeur pour sécuriser les SSL, d'où pourquoi Chrome supprime progressivement SHA1 .
Non, personne ne peut encore casser les certificats 2048-RSA qui sont couramment utilisés - pas assez de puissance de calcul.
Cependant, votre navigateur peut être trompé via un autre (faux) certificat. C'est très similaire à la façon dont Fiddle fonctionne pour afficher le trafic crypté (Fiddle est un analyseur d'activité réseau)
First Fiddler crée et installe un certificat racine de confiance.
Vous naviguez https://www.googole.com
Fiddler crée un (faux) certificat pour Google et le signe avec le certificat de l'étape 1.
Fiddler intercepte tout le trafic de votre part vers google et retour (et la partie du trafic entre vous et Fiddler est signée avec le faux certificat). Votre navigateur est dupe en pensant que le faux certificat est OK et vous ne soupçonnez rien.
Un bon truc.
Cependant, vous pouvez facilement sentir un rat si vous regardez le pouvoir de signature du certificat du site et que ce n'est pas l'une des marques reconnues (Thawte, VeriSign, etc.)
Gardez également à l'esprit que les appliances de sécurité nextgen comme celles des pare-feu Palo Alto et Huawei USG, ont cette fonctionnalité intégrée. Il s'agit apparemment de faire face à "l'angle mort" dans lequel, car le SSL sortant est généralement autorisé, les employés peuvent utiliser pour contourner la sécurité (choquant je sais). En déchiffrant le SSL, l'appliance peut effectuer un filtrage basé sur les applications,