为从某些场所建立的所有 https 连接获取自签名 SSL 证书

信息安全 tls 防火墙 证书
2021-08-14 03:54:44

背景:
我目前在一个互联网明显不值得信赖的国家为我的公司工作。几个月前,它因窃取 facebook、twitter 和 gmail 帐户密码而成为头条新闻。

一月份发生了一场革命,情况应该有所改善。

他们确实有,因为当我使用本地提供商的 3G HSPD 连接之一从家里连接到 Internet 时,事情变得更加顺畅(但边缘仍然很粗糙,例如有时会出现系统 403 消息 => 重新启动调制解调器)。

问题
但是......
总是有一个但是......
当我从客户的场所连接时,除其他奇怪的事情外1,没有识别 SSL 证书(我公司的 sso,gmail ......)!

每当我尝试通过 https 连接时,我的浏览器都会显示一个警告页面,让我有机会手动验证证书。

www.google.com uses an invalid security certificate.
The certificate is not trusted because it is self-signed.
(Error code: sec_error_ca_cert_invalid)

问题
1. 这里发生了什么?
2. 手动接受这些证书有风险吗?
3.这也可能是我无法访问我公司的Cisco VPN的原因(我可以ping公共VPN服务器地址但Cisco VPN客户端超时)。


注意 1:网络管理员还禁止访问 facebook,每当您连接到具有 Facebook 链接的页面(例如新闻媒体)时,浏览器都会弹出一个对话框,询问您想对like.php. 响应中可能有错误的 MIME 类型。注意:我没有 Facebook 帐户。

2个回答

1.这是怎么回事?

Google.com 不使用自签名证书。很可能所有流量都通过 ssl 感知代理(有商业设备可以完成此类工作),该代理拦截并处理 HTTPS 连接(换句话说,它执行中间人攻击)。例如,它伪装成 google.com:如果它在原始证书下为您提供 google.com,它将无法看到加密连接的流量详细信息,因此它使用自签名证书来处理从您到代理,解密流量,然后使用谷歌的正确证书重新加密并将其转发给谷歌。

2. 手动接受这些证书有风险吗?

您是否正在做或发送您不希望操作代理的人发现的东西?如果是的话,有。代理操作员可以查看和更改所有内容- 密码、登录名、信用卡号等等。这里发生的情况是,您所有所谓的加密连接实际上都是明文连接,并且具有与它们相同的安全程度。

3.这也可能是我无法访问我公司的Cisco VPN的原因(我可以ping公共VPN服务器地址但Cisco VPN客户端超时)。

是的,如果它还拦截 VPN 连接并尝试对其进行攻击,您将无法连接,因为相互身份验证将失败。

最后,我建议你使用这个 firefox 扩展:(称为 Perspectives)http://www.networknotary.org/index.html

它专门用于解决此类问题和其他问题:它允许您监控您经常访问的站点是否更改了它的证书,以便您知道正在发生一些可疑的事情。

我很遗憾听到这个消息。有关这方面的另一个示例,请参阅此 EFF 故事:叙利亚对 HTTPS 版本 Facebook 的持续中间人攻击使那里的用户处于危险之中

他们建议的一种补救措施是使用Tor但当然,您的网络提供商(如叙利亚人)也可能阻止 Tor,在这种情况下,您的选择是获得另一个 ISP 或在使用当前的 ISP 时完全谨慎。