Dans ma boîte, ça se passe aussi comme ça. Nous avons un proxy filtrant (sites ou contenus interdits, antivirus, ...) qui déchiffre aussi le contenu SSL (sauf pour certains sites reconnus, comme ceux des banques, gmail, et quelques autres). Cela peut se faire de façon transparente parce que le proxy génère à la volée un certificat correspondant au site visité mais signé par l'AC de l'entreprise (et le certiticat racine est diffusé sur tous les postes, Windows, via la GPO).
Le moyen le plus simple que j'ai trouvé pour savoir si le site visité est filtré par le proxy est de vérifier l'autorité qui a délivré le certificat : lorsque le proxy déchiffre, il s'agit de l'AC interne, sinon c'est une AC "reconnnue" (Gandi, Commodo, Thawte, Verisign, let's Encrypt, ...)
Bien évidemment, tout cela est clairement annoncé par l'entreprise (il s'agit peut-être d'une obligation) mais la liste des sites en liste blanche n'est pas publiée (il me semble que cette liste ainsi que la détection de contenus "illicites" s'appuient sur des données fournies par un prestataire externe).
Il faut cependant noter que ce mécanisme, introduit pour des raisons de sécurité et de confidentialité (ça peut permettre de tracer des fuites de données) peut aussi induire des problèmes : la gestion des certificats serveur non valides (certificats expirés, autosignés ou signés par une AC non présente sur la machine locale) n'est plus possible du côté de l'utilisateur final. Soit le serveur intermédiaire accepte tout sans discernement (avec un risque d'usurpation d'identité) soit il rejette,sans laisser la possibilité à l'utilisateur de choisir (il existe des mécanismes pour gérer ces cas mais cela reste délicat et imparfait).
# vérifier l'autorité qui a délivré le certificat
Posté par JJD . En réponse au message Man in the middle ? Vérifier la validité du SSL. Évalué à 2.
Salut,
Dans ma boîte, ça se passe aussi comme ça. Nous avons un proxy filtrant (sites ou contenus interdits, antivirus, ...) qui déchiffre aussi le contenu SSL (sauf pour certains sites reconnus, comme ceux des banques, gmail, et quelques autres). Cela peut se faire de façon transparente parce que le proxy génère à la volée un certificat correspondant au site visité mais signé par l'AC de l'entreprise (et le certiticat racine est diffusé sur tous les postes, Windows, via la GPO).
Le moyen le plus simple que j'ai trouvé pour savoir si le site visité est filtré par le proxy est de vérifier l'autorité qui a délivré le certificat : lorsque le proxy déchiffre, il s'agit de l'AC interne, sinon c'est une AC "reconnnue" (Gandi, Commodo, Thawte, Verisign, let's Encrypt, ...)
Bien évidemment, tout cela est clairement annoncé par l'entreprise (il s'agit peut-être d'une obligation) mais la liste des sites en liste blanche n'est pas publiée (il me semble que cette liste ainsi que la détection de contenus "illicites" s'appuient sur des données fournies par un prestataire externe).
Il faut cependant noter que ce mécanisme, introduit pour des raisons de sécurité et de confidentialité (ça peut permettre de tracer des fuites de données) peut aussi induire des problèmes : la gestion des certificats serveur non valides (certificats expirés, autosignés ou signés par une AC non présente sur la machine locale) n'est plus possible du côté de l'utilisateur final. Soit le serveur intermédiaire accepte tout sans discernement (avec un risque d'usurpation d'identité) soit il rejette,sans laisser la possibilité à l'utilisateur de choisir (il existe des mécanismes pour gérer ces cas mais cela reste délicat et imparfait).