SSL检查和隐私

Question

我知道我的公司正在测试一种叫做"SSL检查“的基于Websense的产品，这是我们的代理。我无法提供更多关于这方面的细节，但这是否意味着原则上所有的SSL流量，例如我的web银行密码或安全密码，都可以被WebSense读取？

Answer 1

是。有了这种配置，WebSense可以解密和分析数据。下面是WebSense作为代理所做的工作，它能够检查SSL连接。

1. 证书验证确保以下
   • 证书未过期
   • 证书未被撤销
   • 证书所有者和URL具有相同的标识
   • 证书由可信任的CA颁发。

2. 网络安全管理员有权决定哪个站点是允许的，而不是客户端。
   • 任何关于证书可信赖性的决定都必须完全由安全管理员作出。
   • 该规则的任何异常只能由安全管理员作出并允许。
   • 客户端工作站的用户只能请求异常，但不能进行异常。

3. 对数据传输的控制
   • 数据可以解密，因此可以检查恶意软件。

Answer 2

是的，SSL检查本质上是一种中间人“攻击”(除非它实际上不是一种攻击，因为它是由基础设施所有者完成的)，目的是能够读取来自您公司机器的所有通信量，或者穿越您的公司网络，即使使用SSL。

因此，您不应该从公司发行机器或通过公司网络发送任何不希望您的公司安全团队阅读的内容。

(这在任何情况下都是一条很好的一般规则。)

还需要记住以下几点：

• 一个合理的公司不会关心你的个人资料。
• 一个道德安全小组将竭尽全力避免看到个人数据。
• 一家明智的公司会记录下他们会做什么，不会做什么--看看已经发表了什么。
• 任何这样的系统都存在一个小的但非零的风险，即真正的攻击者将危及监视系统。
• 企业安全团队还可以使用其他方法监视计算机的使用--例如，他们可以部署键盘记录器。

如果一个组织必须实现一个健壮的数据丢失预防系统，那么他们将不得不查看所有的东西--所以即使他们正在实现SSL检查，也并不意味着他们有邪恶的意图。当然，对他们的员工来说，没有多大乐趣，这就是为什么透明度如此重要的原因。

Answer 3

本网站上的一些Security.SE链接可能会帮助您：

• 建立的SSL连接是否意味着线路确实是安全的？
• Javascript/Flash能否验证SSL连接以防止“SSL检查”？
• 如何检查是否有到网站的直接SSL连接？
• https://security.stackexchange.com/a/10105/396
• https://security.stackexchange.com/a/3859/396