Certificado SSL para usar con la inspección SSL en Zyxel USG110

0

Tengo una consulta sobre la funcionalidad de inspección SSL en la serie USG110 y superior. Tengo el requisito de proporcionar un punto de acceso público a Wi-Fi, y estoy considerando usar un USG110 para proporcionar control de aplicaciones y filtrado de contenido que pueda funcionar bien con el tráfico HTTP, el desafío que tengo es con HTTPS tráfico y poder usar el control de aplicaciones y el filtrado de contenido con este tipo de tráfico para brindar protección al cliente con el que estoy trabajando.

He podido usar IDP para bloquear el tráfico según la firma del tráfico, por ejemplo, he podido bloquear HTTPS en el sitio web de Spotify y luego, con el control de aplicaciones, también se bloquea el acceso a la aplicación de escritorio de Spotify. Lo que estoy buscando hacer es no tener que crear una regla para cada sitio web o aplicación que queremos bloquear a través de IDP, ya que con el ejemplo de Spotify no bloqueó todos los elementos de Spotify y tuve que usar una mezcla de App Patrol y IDP . Aquí es donde busco usar la función de inspección SSL junto con la Patrulla de aplicaciones y el Filtrado de contenido en el USG110 para brindarme una descripción completa de todo el tráfico que pasa a través de la red y aplicar políticas a este tráfico.

La consulta que tengo en torno a la inspección de SSL es sobre el certificado SSL, ya que es un punto de acceso Wi-Fi público. No puedo controlar los dispositivos que se conectarán a esta red y, por lo tanto, no puedo instalar el certificado autofirmado en a cada dispositivo para que reconozca cualquier tráfico HTTPS que el USG analice como proveniente de una fuente confiable. Si comprara un certificado SSL de un tercero a una autoridad de certificación y luego lo importara en el USG, esto eliminaría la necesidad de utilizar el certificado autofirmado en el USG, y permitiría la conexión HTTPS a una fuente externa ¿Se muestra como una conexión de confianza en los dispositivos?

Gracias de antemano por su respuesta

    
pregunta Andrew Severn 08.12.2014 - 13:23
fuente

1 respuesta

1

No se puede hacer. No sin que usted compre un certificado de Sub-CA. (La cual ninguna CA que se respete a sí misma debería / debería vender a cualquiera).

Si bien hay maneras de evitar esto, ninguna de ellas es práctica. (Y eso es algo bueno.):
1) No te importa la detección. Simplemente maneja a todos, les da un certificado que no es de confianza y espera que hagan clic en las advertencias de los certificados. Esto es feo.

2) No te importa demasiado la detección. Simplemente maneja a todos, elimine HTTPS y los certificados de inmediato (utilizando SSLStrip ). Entonces no tendrás que preocuparte por los certificados.

3) Te importa un poco más la detección y eres muy, muy poderoso. Usted está en condiciones de que una CA reconocida emita un certificado de CA secundaria sin restricciones para su negocio de intercepción. Esto requerirá la cooperación de dicha CA. (Por lo tanto, esto solo será una opción si eres un estado-nación). Luego, con suerte, Google Chrome te descubrirá, te nombrará y te dará vergüenza. (Lo que sucedió en 2013: enlace )

    
respondido por el StackzOfZtuff 08.12.2014 - 14:18
fuente

Lea otras preguntas en las etiquetas