引用:
|
作者anderson1127
如果Client一開始就是往SSL Proxy去連線 , 再由Proxy代替去連線真正要連線的WEB Site
然後把連線得到的資料再傳給Client , 這樣又如何呢?? 能不能夠知道SSL內容呢 ???
這個做法,只有去查看Client端憑證是誰發出來的才有機會知道有沒有中間者(Proxy)存在
通常一般人不會去查看這東西,除非憑證一開始就是非法的,WEB Client要確認使用者
是不是真的要連線,才會去注意這個非法的憑證!! 但, 如果SSL Proxy一開始就去申請一個合法憑證的情況下 , WEB Client是連告警都不會發出來的 .... 
上面那句話,我還真的有點OXOX , HTTPS (SSL) 何時可以透過 DNS Protocol 傳送??
HTTPS 走443 port , DNS走UDP 53 port , HTTPS去走UDP 53 port 會通???
如果你跟我說 , HTTPS Over VPN我還會覺得那句話合理多了, 這時根本就不要想去破解
DNS packet Query的流量 !! 但目前很明顯不是啊..... 樓主沒有提... |
SSL/WEB PROXY 大部分的時候，其實幾乎等同或相當於正向代理
假如我把它的快取加大到 30GB 的時候，其實已經等同於 WEB/SSL PROXY 了
此外有些網站會強制指定 CACHE LIFETIME，這種網站幾乎不可能被快取的
WEB 會強制推送新內容
如果對方是 WEB ，你的所謂合法憑證
用途跟角色，僅僅就只是一個正向代理
例如 search.pcdvd.com.tw 進入後
裡面其實是一個
www.google.com 的搜尋首頁
這種當然沒有問題
問題是，你要去撈裡面的資料，去偷看對方要幹嘛
或者修改封包內文，這種你就算有辦法修改
也無法做到完全無痕跡
所以以中間人角色要達到這樣的目的是不可能的
所以你說，SSL PROXY 有憑證，WEB 不會警告
除非你做正向代理，如果要監控解密文，那是不可能的
假設全世界就你解得開，你也沒有辦法冒充
www.google.com
或者全世界任何一個擁有合法憑證的 web
我也沒提 HTTPS OVER VPN 阿
我是在回應 sparc10 老兄何謂 DNS LEAK
當你沒掛 MASQ 的時候，你的 IP 直接暴露
就算你使用具備隱私以及完整性保護的 DNS OVER HTTPS/TLS
我看你連線的 IP 就知道你哪邊來的
DNS 防護，首先一個大前提是"不使用 ISP 提供的 DNS 伺服器"
例如使用 1.1.1.1 ，這樣 ISP 只知道你連到 youtube
但是它不會知道你看了甚麼影片
對 google 來說，你的 DNS 請求只看得到 1.1.1.1 的區域資訊
假設最近點是在美國西岸，就給你西岸連 youtube 的最近點 ip
它看不到你的 DNS 請求是來自台灣
但是藉由你的 ip ，如果你沒掛 tor 等 masq 的話
它當然知道你的 ip 來自台灣
反過來說，今天你的角色是 DNS
我也不是你的 ISP，本身不具任何隱私保護
當你請求 youtube 網址時，DNS 同時會把你的所在區域位置
也一並告訴 google，google 知道你在台灣
就把台灣最近點的 youtube ip 給你
不過其實我是覺得您問得這個問題其實很奇怪
ssl proxy 其實在現代已經慢慢被其它角色取代 ( 正向/反向/routing )
因為實際上的應用，當 client 或 server 其中一方要求驗證的時候
SSL PROXY 在這邊就只能把流量 forward 下去，完全就是一個廢物
除非有 NAT 或者打特殊應用需要的 TAG
否則在生產環境中，SSL PROXY 已經幾乎絕跡將近十年