Top-Themen

AppleEntwicklungHardwareInternetLinuxMicrosoftMultimediaNetzwerkeOff TopicSicherheitSonstige SystemeVirtualisierungWeiterbildungZusammenarbeit

Aktuelle Themen

Administrator.de FeedbackApache ServerAppleAssemblerAudioAusbildungAuslandBackupBasicBatch & ShellBenchmarksBibliotheken & ToolkitsBlogsCloud-DiensteClusterCMSCPU, RAM, MainboardsCSSC und C++DatenbankenDatenschutzDebianDigitiales FernsehenDNSDrucker und ScannerDSL, VDSLE-BooksE-BusinessE-MailEntwicklungErkennung und -AbwehrExchange ServerFestplatten, SSD, RaidFirewallFlatratesGoogle AndroidGrafikGrafikkarten & MonitoreGroupwareHardwareHosting & HousingHTMLHumor (lol)Hyper-VIconsIDE & EditorenInformationsdiensteInstallationInstant MessagingInternetInternet DomäneniOSISDN & AnaloganschlüsseiTunesJavaJavaScriptKiXtartKVMLAN, WAN, WirelessLinuxLinux DesktopLinux NetzwerkLinux ToolsLinux UserverwaltungLizenzierungMac OS XMicrosoftMicrosoft OfficeMikroTik RouterOSMonitoringMultimediaMultimedia & ZubehörNetzwerkeNetzwerkgrundlagenNetzwerkmanagementNetzwerkprotokolleNotebook & ZubehörNovell NetwareOff TopicOpenOffice, LibreOfficeOutlook & MailPapierkorbPascal und DelphiPeripheriegerätePerlPHPPythonRechtliche FragenRedHat, CentOS, FedoraRouter & RoutingSambaSAN, NAS, DASSchriftartenSchulung & TrainingSEOServerServer-HardwareSicherheitSicherheits-ToolsSicherheitsgrundlagenSolarisSonstige SystemeSoziale NetzwerkeSpeicherkartenStudentenjobs & PraktikumSuche ProjektpartnerSuseSwitche und HubsTipps & TricksTK-Netze & GeräteUbuntuUMTS, EDGE & GPRSUtilitiesVB for ApplicationsVerschlüsselung & ZertifikateVideo & StreamingViren und TrojanerVirtualisierungVisual StudioVmwareVoice over IPWebbrowserWebentwicklungWeiterbildungWindows 7Windows 8Windows 10Windows InstallationWindows MobileWindows NetzwerkWindows ServerWindows SystemdateienWindows ToolsWindows UpdateWindows UserverwaltungWindows VistaWindows XPXenserverXMLZusammenarbeit
GELÖST

Wie funktioniert ein HTTPS Proxy? Ist das zeitgemäß?

Frage Sicherheit Verschlüsselung & Zertifikate

Mitglied: flyingKangaroo

flyingKangaroo (Level 1) - Jetzt verbinden

19.06.2017 um 21:35 Uhr, 653 Aufrufe, 5 Kommentare

Hallo,

ich war bisher immer der Meinung wenn im Browser ein Proxyserver für HTTPS eingetragen ist, dann stellt der Proxyserver lediglich einen TCP-Tunnel bereit, über den dann die eigentliche HTTPS-Verbindung zw. Browser und dem Ziel-Webserver läuft. Ohne weitere Schweinereien ist die Verbindung dann trotzdem gesichert und die Daten liegen dann zu keinem Zeitpunkt zwischen Client und Webserver unverschlüsselt vor.
Was damit natürlich auch gemeint sein kann ist evtl. eine HTTPS-Verbindung zw. Client und Proxy... das wäre ja dann lediglich eine https-Adresse als Proxy-Adresse sowie ein gültiges Zeritifkat (hab ich aber selber noch nicht ausprobiert).

Jetzt habe ich gelesen, dass auf "ALGs" (Contentfilter o.ä.) die Verbindung z.T. 'aufgebrochen' wird. Bekommt man sowas am Client mit? Erledigt sich sowas nicht in kürze wieder aufgrund von HPKP (Public Key Pinning)?

Danke.

Gruß

Dieter
Mitglied: Lochkartenstanzer
LÖSUNG 20.06.2017 um 06:28 Uhr
Moin,

Klassische Proxies haben bei ssl-Verbindungen einfach nur die Daten weitergereicht, ohne diese zu manipulieren. Das bedeutet aber auch, daß eon Contentfilter auf dem Proxy nicht greift, was in vielen Firmenumgebungen nivht erwünscht ist. Deswegen eerden in solchen Umgebungen die ssl-Verbindungen aufgebrochen und durch eine neue ssl-verbindung des proxies zum Server ersetzt.

Der client merkt das anhand der Zertifikats, das er präsentiert bekommt (Du prüfst doch hoffentlich immer die Zertifikate, auch wenn Dein Browser sich nicht beschwert?)

Allerdings haben da einige Hersteller bei ihren ALG so geschlampt, daß die Sicherheit der Verbndung durvh das ALG eher gefährdet war.

Das Key-Pinnng wird nur die nächste Stufe der Eskalation einleiten, weil Firmen ihre Verbindungen nach draußen kntrollieren wollen.

lks
Bitte warten ..
Mitglied: flyingKangaroo
21.06.2017 um 00:13 Uhr
Was ich dann aber nicht ganz verstehe:
Ich baue eine Verbindung zu z.B. https://www.google.com auf... das Zertifikat was mir der ALG präsentiert ist aber doch keinesfalls auf google.com ausgestellt - warum schlägt der Browser nicht Alarm, dass das Zertifikat nicht passt?
Bitte warten ..
Mitglied: Rudbert
21.06.2017 um 07:38 Uhr
Das Zertifikat muss vorher auf dem Client in die Vertrauenswürdigen Stammzertifizierungsstellen importiert werden z.B. für den IE und Chrome per GPO oder den Firefox per Script.

Ansonsten wäre ja das ganze HTTPS ad absurdum geführt.

Am Client erkennst du das, indem du das Zertifikat inspizierst; dann ist beispielsweise das google.de SSL-Zertifikat signiert von deiner Firma und nicht Google.

Gruß
Bitte warten ..
Mitglied: Lochkartenstanzer
LÖSUNG 21.06.2017, aktualisiert um 08:09 Uhr
Zitat von flyingKangaroo:

Was ich dann aber nicht ganz verstehe:
Ich baue eine Verbindung zu z.B. https://www.google.com auf... das Zertifikat was mir der ALG präsentiert ist aber doch keinesfalls auf google.com ausgestellt - warum schlägt der Browser nicht Alarm, dass das Zertifikat nicht passt?

Weil die das root-Zertfikat daß das ALG-zertifikat ausgestellt hat, im Browser als Vertrauenswürdig eingetragen wurde oder das ALG stellt on-the-fly Zertifikate aus und signert sie mt einem Vertrauenswürdigen Zertifikat so das der brwoser denkt er kommuniziert wirklich mit google. Symantec ist dahingehend schon negativ aufgefallen, ist aber nicht der einzige böse Bube in diesem Spiel.

Man muß sich bewußt machen, das die ALGs genau das machen, was man als (erfolgreichen) MITM-Angriff bezeichnet.

Deswegen geht google inzwischen zu Zertificate-pinning bei ihren domains und produkten über, damit die user das merken.

lks
Bitte warten ..
Mitglied: flyingKangaroo
24.06.2017 um 09:30 Uhr
Danke. Jetzt hab ich's verstanden
Bitte warten ..
Ähnliche Inhalte
Router & Routing
Transparenter Proxy funktioniert nicht? (3)

Frage von mrserious73 zum Thema Router & Routing ...

SEO
Wie funktioniert eine HTTPS Verschlüsselung? (5)

Frage von Yanmai zum Thema SEO ...

Windows 7
32Bit Proxy funktioniert nicht mehr (8)

Frage von Yannosch zum Thema Windows 7 ...

Neue Wissensbeiträge
Windows Update

Microsoft Update KB4034664 verursacht Probleme mit Multimonitor-Systemen

(3)

Tipp von beidermachtvongreyscull zum Thema Windows Update ...

Viren und Trojaner

CNC-Fräsen von MECANUMERIC werden (ggf.) mit Viren, Trojanern, Würmern ausgeliefert

(4)

Erfahrungsbericht von anteNope zum Thema Viren und Trojaner ...

Windows 10

Windows 10: Erste Anmeldung Animation deaktivieren

(3)

Anleitung von alemanne21 zum Thema Windows 10 ...

Heiß diskutierte Inhalte
Netzwerkgrundlagen
Kann auf Freigabe nicht Zugreifen (19)

Frage von leon123 zum Thema Netzwerkgrundlagen ...

Windows Server
gelöst Neues KB für W10 1607 und W2K16 wieder mal nicht im WSUS 3.0, hat das noch jemand? (16)

Frage von departure69 zum Thema Windows Server ...

Windows Server
DC virtualisieren + wie sichern (SingleDC-Environment) (12)

Frage von KMUlife zum Thema Windows Server ...

Festplatten, SSD, Raid
RAID Controller mit Trim-Funktion, wie ermitteln (11)

Frage von pixel24 zum Thema Festplatten, SSD, Raid ...