Защищен ли я от программного обеспечения для мониторинга сети, если используется HTTPS?

Question

Я буду входить в свой банковский счет и личные учетные записи электронной почты на работе. Это не запрещено на работе, но я просто не хочу, чтобы они сохраняли / регистрировали копию того, что я делаю с этими сервисами. Особенно мои пароли.

Если служба использует соединение HTTPS, сможет ли моя компания отслеживать / сохранять / регистрировать мои пароли, которые я использую для этих служб? как насчет содержимого страниц?

Опять же, правила в моей компании не запрещают использование моей личной учетной записи электронной почты или услуг интернет-банкинга, но я просто не хочу, чтобы они знали какую-либо важную информацию об этом. Это нормально, если бы они знали, что я использую их, но они не должны получать доступ к моим паролям.

Могу ли я безопасно использовать их (зная, что моя компания не может сохранить эти данные), если используется HTTPS?

PS Я действительно не сетевой парень, и я не знаю много о том, как эти вещи работают. Поэтому, пожалуйста, не давайте никаких ответов RTFM.

Answer 1

Прежде чем ответить: если браузер предупреждает вас о том, что сайт использует плохое шифрование или вводит неверную идентификационную информацию, важно прочитать ошибку, понять ее и тщательно обдумать, хотите ли вы продолжить.

Краткий ответ: Да, если вы используете доверенное устройство

Длинный ответ:

Если кто-то отслеживает ваше соединение с другого компьютера (где-то между вами и вашим банком), и вы используете HTTPS, и они используют подписанные сертификаты с достаточно надежным алгоритмом, то вы в порядке. (Если только они не сохраняют данные годами, а потом читают их после того, как алгоритм нарушен - но им, вероятно, будет лучше взломать ваш дом и украсть ваши вещи;)).

Скорее всего, если это ваш банк, то они используют подписанные сертификаты с достаточно надежным шифром. Вы можете убедиться в этом, посмотрев информацию SSL для страницы, которая должна отображаться, если вы посмотрите на информацию о странице, щелкните по синему или зеленому имени слева в адресной строке с помощью Firefox 3.5 или нажмите на замок, чтобы Право в адресной строке в IE8. Firefox также отобразит используемый алгоритм шифрования, если вы выберете « Дополнительная информация» после нажатия на цветную область.

Если вы не доверяете устройству, которое используете для подключения (например, компьютер, который не принадлежит вам и может быть изменен другими), это вызывает большую обеспокоенность. Теперь ваше рабочее место, скорее всего, не будет делать ничего противозаконного, например, просматривать вашу банковскую информацию; но возможно, что SSL будет подорван, если ваша система будет взломана. Возможно, ваш компьютер настроен на прием сертификатов, подписанных прокси-сервером (проверка сертификата или закрепление сертификата может помешать этому). Тем не менее, наблюдение может быть где угодно - кейлоггер даже не должен был бы победить SSL, например, чтобы получить ваши банковские учетные данные. SSL делает это так, что вам не нужно доверять соединению между двумя доверенными конечными точками, но если сама конечная точка не заслуживает доверия, все ставки отключены.

Answer 2

Нет, не обязательно. Ваша компания может отправить ваше соединение через прокси-сервер, который действует как посредник. То есть: весь трафик HTTPS идет от вашего компьютера к прокси, там дешифруется, анализируется, шифруется и отправляется на сервер. Ваш компьютер не будет использовать сертификат безопасности с сервера, но вместо этого прокси-сервер сгенерирует его для данного веб-сайта и отправит его вам, поэтому у вас действительно будет два HTTPS-соединения: от вас к прокси-серверу и от прокси-сервера к серверу.

Чтобы это произошло, компания должна иметь сервер сертификатов для генерации сертификата. Обычно браузер возражает здесь и жалуется, что центр сертификации не является доверенным, но, конечно, это может быть переопределено с помощью групповых политик и тому подобного.

Тем не менее, это не обязательно нечестная игра работодателя, так как это может быть частью антивирусной концепции или по юридическим причинам.

В вашем браузере посмотрите на сертификат. Особенно посмотрите на центр сертификации. Если сертификат выдан "настоящим" центром сертификации, таким как Thawte, VeriSign и т.д., Это будет означать, что вы используете сертификат с сервера, и вы должны быть в безопасности. Однако, если он выдается чем-то вроде «YourCompany-AV» или подобным, то у вас есть прокси-сервер "посредник".

Answer 3

Вообще говоря, вы в безопасности.Поскольку при посещении веб-сайта банка через https-соединение все данные, такие как имя пользователя и пароль, шифруются, их очень трудно расшифровать за очень короткое время, если они не очень хорошо знают алгоритм шифрования. Тем не менее, есть и другие атаки, такие как клавиатурный шпионов, человек в середине будет работать, если они хорошо осведомлены.Всегда обращайте внимание на окружающую среду, прежде чем вводить конфиденциальную информацию.

Answer 4

Если вы используете принадлежащий компании компьютер и согласились с политикой компании, могут возникнуть проблемы, характерные для вашей компании. Не зная каких-либо подробностей, я бы сказал, что вы должны быть в безопасности, но я должен сбалансировать это с предостережением. Технически это возможно, но если вы ведете "нормальную" жизнь, есть множество вещей, с которыми вы сталкиваетесь каждый день, и которые представляют гораздо больший риск для ваших личных данных, чем сценарий, о котором вы спрашиваете.

Некоторые основные вещи, которые нужно знать. Компания все еще может знать, какие сайты вы посещаете и как долго. Данные могут быть зашифрованы, но их все равно необходимо маршрутизировать, чтобы раскрыть адрес, с которого поступают данные.

В других ответах вы найдете советы по использованию любых функций безопасности вашего браузера. Я добавлю, что вам следует уделить время просмотру политик вашей компании, касающихся личных данных на рабочих машинах.

Answer 5

Банки обычно используют 128-битное шифрование или выше. Проверьте свойства их сертификата SSL или даже попросите одного из техподдержки выяснить, что это такое. Если он ниже 128, я бы предложил не использовать его. Но если это 128 или более, вы должны быть в порядке. Если кто-то в сети с Ettercap, Wireshark, Shijack и огромным чипом на плече не имеет против вас ничего. Однако, если вас это беспокоит, просто не используйте сетевой банкинг на работе. Опять же, что может помешать кому-нибудь взломать ваш компьютер дома, чтобы получить банковскую информацию? Вы, вероятно, безопаснее на работе. Мои менеджеры едва могли проверить историю моего браузера - мне бы хотелось, чтобы они взломали шифрование SHA1-RSA, предоставляемое сертификатом SSL.

Answer 6

На самом деле вы в безопасности просто потому, что обычно у сетевых администраторов есть дела поважнее. Технически, нет, ваши данные не являются безопасными. Вы не сказали, в какой области вы были, но, например, в работе колл-центра будут системы, которые будут подвергаться чрезвычайно тщательному мониторингу. Шифрование данных не имеет значения, регистрируются ли нажатия клавиш и снимок экрана как часть нормальной работы. Если вы беспокоитесь о том, что администраторы могут склоняться к просмотру информации о вашем банковском счете, НЕ используйте свой рабочий компьютер для банковских операций.

Answer 7

Компании часто используют прокси-серверы и брандмауэры для анализа сети, но вы можете быть уверены, что ни один из них не сможет прослушать трафик https. Это основной принцип https - предотвращение атаки «человек посередине».

Answer 8

Впоследствии возможно сохранить пакеты и нарушить шифрование RSA, хотя, поскольку Интернет основан на коммутации пакетов, маловероятно, что у любого злоумышленника будет достаточно субстанции для восстановления пакетов TCP.

Все и все возможно.