Wie funktioniert ein HTTPS Proxy? Ist das zeitgemäß?

Mitglied: flyingKangaroo

flyingKangaroo (Level 1) - Jetzt verbinden

19.06.2017 um 21:35 Uhr, 10804 Aufrufe, 7 Kommentare

Hallo,

ich war bisher immer der Meinung wenn im Browser ein Proxyserver für HTTPS eingetragen ist, dann stellt der Proxyserver lediglich einen TCP-Tunnel bereit, über den dann die eigentliche HTTPS-Verbindung zw. Browser und dem Ziel-Webserver läuft. Ohne weitere Schweinereien ist die Verbindung dann trotzdem gesichert und die Daten liegen dann zu keinem Zeitpunkt zwischen Client und Webserver unverschlüsselt vor.
Was damit natürlich auch gemeint sein kann ist evtl. eine HTTPS-Verbindung zw. Client und Proxy... das wäre ja dann lediglich eine https-Adresse als Proxy-Adresse sowie ein gültiges Zeritifkat (hab ich aber selber noch nicht ausprobiert).

Jetzt habe ich gelesen, dass auf "ALGs" (Contentfilter o.ä.) die Verbindung z.T. 'aufgebrochen' wird. Bekommt man sowas am Client mit? Erledigt sich sowas nicht in kürze wieder aufgrund von HPKP (Public Key Pinning)?

Danke.

Gruß

Dieter
Mitglied: Lochkartenstanzer
LÖSUNG 20.06.2017 um 06:28 Uhr
Moin,

Klassische Proxies haben bei ssl-Verbindungen einfach nur die Daten weitergereicht, ohne diese zu manipulieren. Das bedeutet aber auch, daß eon Contentfilter auf dem Proxy nicht greift, was in vielen Firmenumgebungen nivht erwünscht ist. Deswegen eerden in solchen Umgebungen die ssl-Verbindungen aufgebrochen und durch eine neue ssl-verbindung des proxies zum Server ersetzt.

Der client merkt das anhand der Zertifikats, das er präsentiert bekommt (Du prüfst doch hoffentlich immer die Zertifikate, auch wenn Dein Browser sich nicht beschwert?)

Allerdings haben da einige Hersteller bei ihren ALG so geschlampt, daß die Sicherheit der Verbndung durvh das ALG eher gefährdet war.

Das Key-Pinnng wird nur die nächste Stufe der Eskalation einleiten, weil Firmen ihre Verbindungen nach draußen kntrollieren wollen.

lks
Bitte warten ..
Mitglied: flyingKangaroo
21.06.2017 um 00:13 Uhr
Was ich dann aber nicht ganz verstehe:
Ich baue eine Verbindung zu z.B. https://www.google.com auf... das Zertifikat was mir der ALG präsentiert ist aber doch keinesfalls auf google.com ausgestellt - warum schlägt der Browser nicht Alarm, dass das Zertifikat nicht passt?
Bitte warten ..
Mitglied: Rudbert
21.06.2017 um 07:38 Uhr
Das Zertifikat muss vorher auf dem Client in die Vertrauenswürdigen Stammzertifizierungsstellen importiert werden z.B. für den IE und Chrome per GPO oder den Firefox per Script.

Ansonsten wäre ja das ganze HTTPS ad absurdum geführt.

Am Client erkennst du das, indem du das Zertifikat inspizierst; dann ist beispielsweise das google.de SSL-Zertifikat signiert von deiner Firma und nicht Google.

Gruß
Bitte warten ..
Mitglied: Lochkartenstanzer
LÖSUNG 21.06.2017, aktualisiert um 08:09 Uhr
Zitat von @flyingKangaroo:

Was ich dann aber nicht ganz verstehe:
Ich baue eine Verbindung zu z.B. https://www.google.com auf... das Zertifikat was mir der ALG präsentiert ist aber doch keinesfalls auf google.com ausgestellt - warum schlägt der Browser nicht Alarm, dass das Zertifikat nicht passt?

Weil die das root-Zertfikat daß das ALG-zertifikat ausgestellt hat, im Browser als Vertrauenswürdig eingetragen wurde oder das ALG stellt on-the-fly Zertifikate aus und signert sie mt einem Vertrauenswürdigen Zertifikat so das der brwoser denkt er kommuniziert wirklich mit google. Symantec ist dahingehend schon negativ aufgefallen, ist aber nicht der einzige böse Bube in diesem Spiel.

Man muß sich bewußt machen, das die ALGs genau das machen, was man als (erfolgreichen) MITM-Angriff bezeichnet.

Deswegen geht google inzwischen zu Zertificate-pinning bei ihren domains und produkten über, damit die user das merken.

lks
Bitte warten ..
Mitglied: flyingKangaroo
24.06.2017 um 09:30 Uhr
Danke. Jetzt hab ich's verstanden :) face-smile
Bitte warten ..
Mitglied: danielr1996
14.11.2017 um 19:05 Uhr
Zitat von @flyingKangaroo:
Erledigt sich sowas nicht in kürze wieder aufgrund von HPKP (Public Key Pinning)?

Chrome wird Key Pinning vermutlich wieder aufgeben, da es zu mehr Problemen geführt hat als es gelöst hat (https://www.golem.de/news/https-chrome-will-http-public-key-pinning-wied ...)

LG Dani
Bitte warten ..
Mitglied: flyingKangaroo
30.01.2018 um 20:40 Uhr
Aber andere Wege sind eigentlich nicht vorstellbar, oder?
Will sagen: an der Zertifikatskette müsste man es eigentlich IMMER merken, wenn HTTPS aufgebrochen wurde, oder?

Das Datenblatt von z.B. "McAfee Web Gateway" ließt sich m.E. nämlich ziemlich gruselig - fast so als hätten Sie die perfekte Lösung gefunden, SSL vollends auszuhebeln.

In so einem Netzwerk würde ich z.B. ungern auf irgendwelche vertraulichen persönlichen Daten (Banking, Webmail) zugreifen...
Bitte warten ..
Heiß diskutierte Inhalte
Off Topic
Realistische Gehaltsvorstellung für eine "IT-Allroundkraft"
gelöst JiggyLeeVor 1 TagFrageOff Topic20 Kommentare

Hallo an alle, ich hege momentan den Wunsch mich von der alten verstaubten Behörden Bürokratie und langweiliger Aufgaben los zu lösen und in einem ...

Windows 10
Windows 10 Geschwindigkeitprobleme trotz viel mehr Gb Ram
Matthes88Vor 1 TagFrageWindows 1045 Kommentare

Hallo ihr lieben aaaalso : Da mein neuer Arbeitsspeicher (32gb) von meiner alten Windows 7 version (max mit 8gb kompatibel) nicht angenommen wurde, habe ...

Humor (lol)
Tipp: Dinge, die man besser nicht klaut
altmetallerVor 1 TagTippHumor (lol)14 Kommentare

Hallo, so wurde meiner Hündin z.B. heute der (eingeschaltete) GPS-Tracker mit Mobilfunkanbindung quasi "direkt vom Halsband weggefunden". Akku hatte noch 60% :-P Und ich ...

Grafikkarten & Monitore
Monitorhalterung mit 80cm Armlänge
ben1300Vor 1 TagFrageGrafikkarten & Monitore7 Kommentare

Guten Abend ! ich bin auf der Suche nach einer Monitorhalterung, im besten Fall ohne Bohrung für einen 28" Monitor (Vesa Halterung). Nun kommt ...

Cloud-Dienste
Cloud PBX bzw. IP Telefon für Ausland
decehakanVor 1 TagFrageCloud-Dienste3 Kommentare

Hallo Zusammen, Ich suche Cloud Telefon ( Cloud PBX, IP-Telefon), sodass ich von Ausland aus über eine deutsche Rufnummer auf mein Handy erreichbar bin. ...

Netzwerkmanagement
Sicherheitsrisiken Synology DS Admin Konto
RitchtoolsVor 18 StundenFrageNetzwerkmanagement4 Kommentare

Hallo Zusammen, ich habe die Pflege von einem Firmen NAS übernommen (Synology) es sind mehrere Rechner im Netzwerk die auf Daten zugreifen. Leider hat ...

Microsoft
Datenkrake - Browser
DennisWeberVor 15 StundenErfahrungsberichtMicrosoft6 Kommentare

Hallo zusammen, ich empfehle euch mal definitiv in "Temp" Verzeichnis eures Browsers zu schauen. Es war für mich erschreckend, wie viele wichtige Dokumente und ...

E-Mail
Office 365 mit Wordpress nutzen
gelöst tobitobsnVor 1 TagFrageE-Mail6 Kommentare

Wir nutzen einen Webhoster, wo wir eine Wordpress Webseite betreiben und haben vor einiger Zeit zu Office 365 gewechselt. Unser Webhoster erlaubt innerhalb von ...