HTTPS packet inspection

Archivado
Buenos días,

he visto que en algunos Firewalls está habilitada la opción de "HTTPS packet inspection".

¿Cómo puede ser técnicamente, si son paquetes cifrados?

Saludos!
banderas20 escribió:Buenos días,

he visto que en algunos Firewalls está habilitada la opción de "HTTPS packet inspection".

¿Cómo puede ser técnicamente, si son paquetes cifrados?

Saludos!


Te dejo unas lecturas interesantes al respecto :)

https://arstechnica.com/information-tec ... ance-tech/
https://guidovranken.com/2015/12/30/htt ... le-attack/

Y cómo comentas el mismo SonicWall ofrece algo similar a lo que comentas, te copio/pego lo que tienen en su web de producto:
Deep Packet Inspection of SSL/TLS Encrypted Traffic (DPI-SSL)
Safeguard your network from encrypted threats with SonicWall Deep Packet Inspection of SSL/TLS and SSH. These add-on security services are available on all SonicWall Next-Generation Firewall (NGFW) and Unified Threat Management (UTM) firewalls. DPI-SSL delivers deep protection against encrypted threats, and scalable SSL decryption and deep packet inspection SSL performance without limitation. It leverages the SonicWall patented Reassembly-Free Deep Packet Inspection engine, a full-stack streaming inspection technology that scans a broad array of encryption protocols including HTTPS, SMTPS, NNTPS, LDAPS, FTPS, Telnets, IMAPS, IRCS, and POPS. For high traffic or highly-regulated deployments, DPI-SSL can exclude trusted sources to optimize network performance, and conform to privacy and/or legal requirements.
Pero coño, si yo uso comunicación cifrada entre mi banco y yo. Cómo coño revienta el algoritmo de cifrado para ver lo que hay dentro?

Si hay clave pública y privada, lo veo técnicamente imposible...

Temas de privacidad aparte.....
¿Quiza cree un layer adicional en aplicación?
De tal manera que al descifrar en destino se analice en un contenedor.
Es lo único que se me ocurre, en internet seguro que hay mas info.
Delta_15 escribió:¿Quiza cree un layer adicional en aplicación?
De tal manera que al descifrar en destino se analice en un contenedor.


Me he quedado igual :O

Buscaré más info. Gracias! [oki]
Es más sencillo de entender.

Como la conexión pasa a través de un intermediario (ya sea un proxy o un firewall), éste puede interceptar la comunicación y con ella el par de claves de HTTPS. Lo que hace el intermediario es descifrar los paquetes con ese par de claves y analizar su contenido. Luego, lo vuelve a cifrar usando TLS/SSL igualmente y envía los paquetes con un nuevo certificado, sólo que esta vez emitido por el intermediario. Obviamente esto nos dará error de certificado. Pero si tenemos añadido en nuestro equipo el certificado del intermediario como fuente fiable, nuestro equipo dará por válida la transmisión.
JuananBow escribió:Es más sencillo de entender.

Como la conexión pasa a través de un intermediario (ya sea un proxy o un firewall), éste puede interceptar la comunicación y con ella el par de claves de HTTPS. Lo que hace el intermediario es descifrar los paquetes con ese par de claves y analizar su contenido. Luego, lo vuelve a cifrar usando TLS/SSL igualmente y envía los paquetes con un nuevo certificado, sólo que esta vez emitido por el intermediario. Obviamente esto nos dará error de certificado. Pero si tenemos añadido en nuestro equipo el certificado del intermediario como fuente fiable, nuestro equipo dará por válida la transmisión.


O sea, que el proxy/firewall hace de Man In The Middle e intercepta las claves. ¿Correcto?

Pues a efectos legales, esto se debe notificar a los usuarios del proxy por privacidad, ¿no?

Gracias por la explicación! [bye]
Eso es. Sólo que es más complejo que el MitM, ya que hay cifrados y certificados de por medias.

Si se trata de tu propio firewall, no le veo mucho sentido que se te notifique. En cuanto al tema empresarial, ahí ya no te se decir. En cierta manera asumes que si usas la red de la empresa, tus datos pueden ser tratados de una manera u otra. Sencillamente no sé hasta qué punto estas cosas son legales o no.
@JuananBow

Muchas gracias!
Hola.

Según mi experiencia, no se interceptan claves, sino que el cliente se conecta con el firewall con el certificado que él proporciona, y el firewall a su vez con el del destino.
Ya el proceso genera sobrecargas brutales en los firewall como para guardar claves para cada una de las conexiones entrantes y salientes.

El firewall sonicwall, la teoría dice que la inspección se hace en una especie de chroot de forma que un humano no puede acceder a esa información "de ninguna manera".

Un saludo.
9 respuestas
Archivado
Volver a General