Top-Themen

AppleEntwicklungHardwareInternetLinuxMicrosoftMultimediaNetzwerkeOff TopicSicherheitSonstige SystemeVirtualisierungWeiterbildungZusammenarbeit

Aktuelle Themen (A bis Z)

Administrator.de FeedbackApache ServerAppleAssemblerAudioAusbildungAuslandBackupBasicBatch & ShellBenchmarksBibliotheken & ToolkitsBlogsCloud-DiensteClusterCMSCPU, RAM, MainboardsCSSC und C++DatenbankenDatenschutzDebianDigitiales FernsehenDNSDrucker und ScannerDSL, VDSLE-BooksE-BusinessE-MailEntwicklungErkennung und -AbwehrExchange ServerFestplatten, SSD, RaidFirewallFlatratesGoogle AndroidGrafikGrafikkarten & MonitoreGroupwareHardwareHosting & HousingHTMLHumor (lol)Hyper-VIconsIDE & EditorenInformationsdiensteInstallationInstant MessagingInternetInternet DomäneniOSISDN & AnaloganschlüsseiTunesJavaJavaScriptKiXtartKVMLAN, WAN, WirelessLinuxLinux DesktopLinux NetzwerkLinux ToolsLinux UserverwaltungLizenzierungMac OS XMicrosoftMicrosoft OfficeMikroTik RouterOSMonitoringMultimediaMultimedia & ZubehörNetzwerkeNetzwerkgrundlagenNetzwerkmanagementNetzwerkprotokolleNotebook & ZubehörNovell NetwareOff TopicOpenOffice, LibreOfficeOutlook & MailPapierkorbPascal und DelphiPeripheriegerätePerlPHPPythonRechtliche FragenRedHat, CentOS, FedoraRouter & RoutingSambaSAN, NAS, DASSchriftartenSchulung & TrainingSEOServerServer-HardwareSicherheitSicherheits-ToolsSicherheitsgrundlagenSolarisSonstige SystemeSoziale NetzwerkeSpeicherkartenStudentenjobs & PraktikumSuche ProjektpartnerSuseSwitche und HubsTipps & TricksTK-Netze & GeräteUbuntuUMTS, EDGE & GPRSUtilitiesVB for ApplicationsVerschlüsselung & ZertifikateVideo & StreamingViren und TrojanerVirtualisierungVisual StudioVmwareVoice over IPWebbrowserWebentwicklungWeiterbildungWindows 7Windows 8Windows 10Windows InstallationWindows MobileWindows NetzwerkWindows ServerWindows SystemdateienWindows ToolsWindows UpdateWindows UserverwaltungWindows VistaWindows XPXenserverXMLZusammenarbeit
GELÖST

Wie funktioniert ein HTTPS Proxy? Ist das zeitgemäß?

Frage Sicherheit Verschlüsselung & Zertifikate

Mitglied: flyingKangaroo

flyingKangaroo (Level 1) - Jetzt verbinden

19.06.2017 um 21:35 Uhr, 762 Aufrufe, 5 Kommentare

Hallo,

ich war bisher immer der Meinung wenn im Browser ein Proxyserver für HTTPS eingetragen ist, dann stellt der Proxyserver lediglich einen TCP-Tunnel bereit, über den dann die eigentliche HTTPS-Verbindung zw. Browser und dem Ziel-Webserver läuft. Ohne weitere Schweinereien ist die Verbindung dann trotzdem gesichert und die Daten liegen dann zu keinem Zeitpunkt zwischen Client und Webserver unverschlüsselt vor.
Was damit natürlich auch gemeint sein kann ist evtl. eine HTTPS-Verbindung zw. Client und Proxy... das wäre ja dann lediglich eine https-Adresse als Proxy-Adresse sowie ein gültiges Zeritifkat (hab ich aber selber noch nicht ausprobiert).

Jetzt habe ich gelesen, dass auf "ALGs" (Contentfilter o.ä.) die Verbindung z.T. 'aufgebrochen' wird. Bekommt man sowas am Client mit? Erledigt sich sowas nicht in kürze wieder aufgrund von HPKP (Public Key Pinning)?

Danke.

Gruß

Dieter
Mitglied: Lochkartenstanzer
LÖSUNG 20.06.2017 um 06:28 Uhr
Moin,

Klassische Proxies haben bei ssl-Verbindungen einfach nur die Daten weitergereicht, ohne diese zu manipulieren. Das bedeutet aber auch, daß eon Contentfilter auf dem Proxy nicht greift, was in vielen Firmenumgebungen nivht erwünscht ist. Deswegen eerden in solchen Umgebungen die ssl-Verbindungen aufgebrochen und durch eine neue ssl-verbindung des proxies zum Server ersetzt.

Der client merkt das anhand der Zertifikats, das er präsentiert bekommt (Du prüfst doch hoffentlich immer die Zertifikate, auch wenn Dein Browser sich nicht beschwert?)

Allerdings haben da einige Hersteller bei ihren ALG so geschlampt, daß die Sicherheit der Verbndung durvh das ALG eher gefährdet war.

Das Key-Pinnng wird nur die nächste Stufe der Eskalation einleiten, weil Firmen ihre Verbindungen nach draußen kntrollieren wollen.

lks
Bitte warten ..
Mitglied: flyingKangaroo
21.06.2017 um 00:13 Uhr
Was ich dann aber nicht ganz verstehe:
Ich baue eine Verbindung zu z.B. https://www.google.com auf... das Zertifikat was mir der ALG präsentiert ist aber doch keinesfalls auf google.com ausgestellt - warum schlägt der Browser nicht Alarm, dass das Zertifikat nicht passt?
Bitte warten ..
Mitglied: Rudbert
21.06.2017 um 07:38 Uhr
Das Zertifikat muss vorher auf dem Client in die Vertrauenswürdigen Stammzertifizierungsstellen importiert werden z.B. für den IE und Chrome per GPO oder den Firefox per Script.

Ansonsten wäre ja das ganze HTTPS ad absurdum geführt.

Am Client erkennst du das, indem du das Zertifikat inspizierst; dann ist beispielsweise das google.de SSL-Zertifikat signiert von deiner Firma und nicht Google.

Gruß
Bitte warten ..
Mitglied: Lochkartenstanzer
LÖSUNG 21.06.2017, aktualisiert um 08:09 Uhr
Zitat von flyingKangaroo:

Was ich dann aber nicht ganz verstehe:
Ich baue eine Verbindung zu z.B. https://www.google.com auf... das Zertifikat was mir der ALG präsentiert ist aber doch keinesfalls auf google.com ausgestellt - warum schlägt der Browser nicht Alarm, dass das Zertifikat nicht passt?

Weil die das root-Zertfikat daß das ALG-zertifikat ausgestellt hat, im Browser als Vertrauenswürdig eingetragen wurde oder das ALG stellt on-the-fly Zertifikate aus und signert sie mt einem Vertrauenswürdigen Zertifikat so das der brwoser denkt er kommuniziert wirklich mit google. Symantec ist dahingehend schon negativ aufgefallen, ist aber nicht der einzige böse Bube in diesem Spiel.

Man muß sich bewußt machen, das die ALGs genau das machen, was man als (erfolgreichen) MITM-Angriff bezeichnet.

Deswegen geht google inzwischen zu Zertificate-pinning bei ihren domains und produkten über, damit die user das merken.

lks
Bitte warten ..
Mitglied: flyingKangaroo
24.06.2017 um 09:30 Uhr
Danke. Jetzt hab ich's verstanden
Bitte warten ..
Ähnliche Inhalte
Router & Routing
Transparenter Proxy funktioniert nicht? (3)

Frage von mrserious73 zum Thema Router & Routing ...

SEO
Wie funktioniert eine HTTPS Verschlüsselung? (5)

Frage von Yanmai zum Thema SEO ...

Windows 7
32Bit Proxy funktioniert nicht mehr (8)

Frage von Yannosch zum Thema Windows 7 ...

Neue Wissensbeiträge
Firewall

PfSense Repository für Version 2.3.x

(2)

Information von Dobby zum Thema Firewall ...

LAN, WAN, Wireless

WPA-2 hat erste Risse: KRACK

(4)

Information von the-buccaneer zum Thema LAN, WAN, Wireless ...

Hardware

GPD Pocket: Winziger Laptop für Wenig Tipper

(1)

Information von pelzfrucht zum Thema Hardware ...

Windows 10

Microsoft veröffentlicht das "Fall Creators Update

(10)

Information von Penny.Cilin zum Thema Windows 10 ...

Heiß diskutierte Inhalte
Windows Server
gelöst Gruppenrichtlinie greift nicht zu! (23)

Frage von Syosse zum Thema Windows Server ...

Hosting & Housing
Mailserver Software Empfehlungen (20)

Frage von sunics zum Thema Hosting & Housing ...

Windows 7
gelöst Windows 7 Anmeldedomäne festlegen (13)

Frage von flotaut zum Thema Windows 7 ...