Y hablo sobre el escenario en el que explícitamente les dice a los usuarios que MITM está ocurriendo y donde los usuarios deben cumplir (por ejemplo, Kazajstán quería tener un proxy MITM a nivel nacional, para proteger a sus ciudadanos de sitios web extranjeros maliciosos , incluso ir tan lejos como para pedir a Mozilla que incluya su CA .)
Pero no puedo pensar en un escenario en el que no tenga que administrar las conexiones entre el proxy MITM y el servidor remoto. Y eso me parece muy caro hacer a escala nacional.
Por lo tanto mi pregunta:
¿Es posible MITM TLS sin mantener la conexión entre el proxy y el servidor remoto? Cuando el cliente cumpla con su pedido para instalar el certificado de CA raíz.
Supongamos que también necesitamos manejar HSTS, y los usuarios usan navegadores normales.
(Por supuesto, usar puertas traseras en el sistema operativo / navegador será más fácil que secuestrar TLS, pero supongamos que tenemos que seguir la ruta de secuestro).