Digamos, por ejemplo, que tengo que usar un proxy público en línea como enlace para cargar una página web de PHP controlada por mí que contiene datos confidenciales a través de HTTPS.
¿Cómo me aseguraría de que el proxy en el medio no tenga conocimiento de los datos sin modificar el cliente (navegador), JavaScript y / o nombres de dominio y servidores adicionales?
El único objetivo de la solución es evitar la capa de ataque de proxy público (teórica).
Cuando usa un proxy re-webber (un sitio web donde ingresa una URL y le muestra el contenido de esa URL en su propio contexto), el uso de TLS entre usted y el sitio web final se vuelve imposible , incluso cuando el proxy querría proporcionarlo.
Cuando ingresa https://google.com en el proxy que vinculó, se le redirige a https://www.zend2.com/vip3.php?u=RyhEPtB1SQ6bFRGMjVSDaC2jhw%3D%3D&b=29 . Tenga en cuenta que el dominio al que se conecta es https://www.zend2.com . Ese es el dominio con el que haces tu saludo de TLS. Cualquier otra cosa llevaría a una advertencia de certificado, porque su navegador espera un certificado válido de www.zend2.com , no de google.com . El proxy luego hace su propio protocolo de enlace TLS con el sitio de destino, solicita el contenido, lo desencripta, PODRÍA verlo, lo vuelve a cifrar y se lo envía a usted.
También puede notar que ¡este servicio realiza un ataque de intermediario justo ante sus ojos! Agrega su propio código HTML a cada sitio web que carga a través de él, incluso cuando carga a través de HTTPS. Este código incluye Javascript, que se ejecuta en el contexto del sitio web que carga. Podrían usar esto para todo tipo de ataques XSS cuando quisieran. El sitio web demostró que pueden y manipularán cualquier contenido al que acceda a través de él, por lo que no debe usarlo para enviar o acceder a información confidencial.
Para evitar esto, no utilice un servicio de rewebber. Use un servidor proxy correctamente ingresándolo en la configuración de conexión de su navegador web. En ese caso, su navegador web es consciente de que está utilizando un servidor proxy y esperará un certificado TLS del destino real, no del proxy. Cualquier escucha o manipulación por el proxy se vuelve imposible en ese caso.
Aparte de las posibles fallas con SSL, puede asegurarse de que el certificado pertenezca al sitio que está visitando. Si SSL es seguro, entonces sus datos también deberían ser seguros. No estoy muy seguro de la posibilidad de falsificar certificados, pero en general lo que he leído es que si está firmado por la autoridad competente, es real. Primero haría una investigación, aunque creo que es poco probable que se intercepten sus datos, suponiendo que SSL sea seguro, aunque imagino que hay una manera de falsificar un certificado (sin que aparezca una advertencia, definitivamente asegúrese de que el certificado sea confiable) ).
Lea otras preguntas en las etiquetas authentication encryption tls javascript php