¿Cómo funciona la inspección SSL en dispositivos personales sin implementar un certificado personalizado de confianza?

Question

¿Cómo funciona la inspección SSL en dispositivos personales sin implementar un certificado personalizado de confianza?

#1 de Iszi (4 votos)

2

Mi (limitado) entendimiento de la inspección SSL es que el proceso implica el despliegue de un certificado en cada host que la inspección SSL estará monitoreando.

En un entorno empresarial, puedo entender que los certificados se instalan fácilmente como parte de la compilación de una computadora. Sin embargo, me han dicho que la inspección SSL se produce incluso en redes invitadas.

¿Cómo puedo realizar la inspección SSL en mi dispositivo personal si no he instalado el certificado personalizado de inspección SSL? ¿No recibiría un error de certificado al iniciar sesión en los sitios HTTPS?

encryption tls man-in-the-middle

pregunta Bob 05.11.2015 - 16:12

fuente

1 respuesta

Lea otras preguntas en las etiquetas encryption tls man-in-the-middle

¿Cuál es la forma más segura de guardar la Cadena de conexión en la aplicación de Windows Forms? XSS - ¿Podemos robar cookies de otro sitio web en otra pestaña?

score 4 · Accepted Answer

Depende.

Para la mayoría de los navegadores web modernos, estará protegido por las advertencias de que el certificado del sitio no es de confianza. Por supuesto, la mayoría de los usuarios solo buscan el "botón fácil" y hacen clic en el sitio de todos modos, así que ahí va esa protección. Lo que es peor, la opción predeterminada para algunos de estos diálogos de advertencia instalará el certificado del sitio para que nunca más veas la advertencia allí.

Para otras aplicaciones (en su mayoría aplicaciones móviles, pero también muchas aplicaciones de clase de escritorio), es un poco de mierda. Para empezar, muchos no usan HTTPS y muchos no se molestan en verificar la validez del certificado del servidor o, si lo hacen, no lo hacen bien o simplemente ignoran los errores.

Mientras una aplicación no esté verificando correctamente el certificado del servidor, o el usuario haga clic en cualquiera de las advertencias presentadas, el propietario de la red puede usar el tráfico SSL todo el día sin necesidad de que el usuario instale realmente el certificado de su CA raíz.