Lo que hace a Superfish y productos similares (todos aquí mencionados como "Superfish"), diferente de MitM corporativo es que Superfish está haciendo el MitM en la máquina cliente. Corporate MitM se realiza en un servidor o dispositivo separado.
Esto es importante porque el sistema que realiza el MitM debe tener la clave privada de una CA raíz de confianza para que funcione. (Estrictamente hablando, no es necesario que la CA raíz sea confiable. Pero el usuario verá banderas rojas si no lo es).
Para Superfish, eso significa que la clave debe estar en el dispositivo cliente, una que no está bien mantenida y en general es muy vulnerable a los ataques.
Para las MitM corporativas, la clave está en el servidor de monitoreo, generalmente mantenido por personal experimentado que realiza el mantenimiento regular y no hace nada (por ejemplo: navegación web, descarga de software adicional, apertura de documentos, etc.) que expondría el sistema a riesgos innecesarios.
Sin embargo, todos los servidores proxy SSL (corporativo o de otro tipo) aún deben implementarse con cuidado para tener en cuenta el hecho de que están eliminando la capacidad del cliente para validar automáticamente el certificado del sistema remoto. Particularmente esto significa:
- El proxy SSL debe validar correctamente los certificados de los sistemas remotos y advertir adecuadamente al usuario o interrumpir la conexión por completo cuando algo está mal. Como mencionó Charles Duffy en los comentarios, la validación correcta de los certificados también requiere que el proxy no confíe en su propia CA incorporada.
- Idealmente, el proxy SSL también debería hacer alguna verificación de integridad contra certificados de referencia históricos o agregados a la comunidad. Esto se implementa en algunas extensiones de navegador web y, en circunstancias normales, el usuario puede realizarlo manualmente para ayudar a detectar el uso fraudulento de CAs raíz de confianza. Dado que el proxy SSL elimina la capacidad del usuario para hacer esto por sí mismo, o para usar efectivamente una extensión de navegador para este propósito, sería mejor si el proxy pudiera hacer su propia verificación para compensar. (Aunque dudo que esté disponible en la mayoría de los productos MitM corporativos).
Otra cosa de la que debe tener cuidado, ya que mencionó que un proveedor externo le proporcionó este servicio, es que el proxy SSL puede ver todo el tráfico de sus usuarios como si no estuviera encriptado. (Ese es el propósito de un proxy SSL). Esto significa que los datos que de otro modo querría tener protegidos de los espectadores de terceros serán totalmente visibles para el proveedor en caso de que decidan abusar de su confianza.