Esto es realmente dos preguntas, pero eh ...
¿Cuál es el punto de la autenticación proxy?
Al contrario de lo que parece creer, hay muchas razones más allá del anonimato para usar un proxy (y si desea un buen anonimato, debe usar algo como Tor en lugar de un solo proxy). Algunas de esas razones:
- Omisión de restricciones geográficas o basadas en IP.
- Usar el proxy como un puente entre la red a la que está conectado y a la que desea acceder (por ejemplo, salir de una red interna corporativa o de la nube a Internet, o al revés).
- Usar un proxy para monitorear, registrar o filtrar el tráfico de la red (por su propia seguridad, o por la seguridad / control de una compañía u otra entidad que desea limitar lo que puede acceder en / desde su red).
- Uso de un proxy para interceptar o modificar el tráfico de red (para pruebas de seguridad o para manipular el tráfico de red).
Para muchos de estos propósitos, existen buenas razones para usar la autenticación. Por ejemplo, un proxy de omisión de filtrado geográfico puede ofrecerse como un servicio comercial, y quieren asegurarse de que solo los usuarios que pagan puedan acceder a los proxies que proporcionan. Un proxy corporativo quiere asegurarse de que solo los empleados autorizados puedan acceder a su red, y posiblemente también saber qué empleado está utilizando una máquina en particular para fines de monitoreo y registro. Es posible que alguien que use un proxy de prueba de red que se abre a otros dispositivos en la red quiera asegurarse de que solo sus propios dispositivos autorizados puedan conectarse al proxy, en lugar de permitir que usuarios de la red se conecten y envíen solicitudes directamente al proxy o desde su computadora.
Además, tener un proxy abierto es un riesgo. Por ejemplo, suponga que alguien usó un proxy abierto que usted ejecuta para enviar amenazas de muerte o cargar pornografía infantil o algo ilegal como ese, y se remonta a su dirección IP. Esa no es una buena situación en la que estar (aunque no soy abogado y no estoy seguro exactamente de cuánto riesgo legal podría estar ahí), especialmente si no tiene ninguna forma de demostrar que era otra persona (como los registros de autenticación de un proxy).
¿No debería el cifrado, si se usa, ser de extremo a extremo?
En general, sí, pero eso no siempre es práctico y puede haber razones para querer cifrar por separado el tráfico cliente-proxy de todos modos. No hay ninguna razón por la que no pueda ejecutar el tráfico cifrado de extremo a extremo, como HTTPS, a través de un proxy donde su cifrado al proxy está cifrado. De hecho, si estuviera usando el proxy para ocultar la actividad de su red de su ISP o similar, definitivamente querría hacer esto (de lo contrario, el ISP podría ver sus búsquedas de DNS, los nombres de dominio de los sitios que desea conectar) a, la cantidad de tráfico de red que intercambia en cada dirección con cada sitio y en qué horarios, y así sucesivamente). Obviamente, el cifrado de la conexión al proxy también es útil en cualquier momento en que desee una autenticación segura, aunque existen formas de realizar una autenticación razonablemente segura en conexiones inseguras (como SRP ).
Además, cifrar la conexión solo entre usted (el cliente) y el proxy es todavía mejor que ningún cifrado, como sería el caso cuando se conecta a un servidor que no admite el cifrado (como uno que solo admite HTTP o FTP, por ejemplo). Un atacante de la red local aún no puede ver (o modificar) lo que está haciendo (como podrían hacerlo si la conexión del proxy no estuviera encriptada), aunque el servidor proxy y cualquier persona que esté más abajo pueda hacerlo.