Каков истинный уровень опасности, когда сертификат SSL недействителен?

Question

Я относительно технически подкован, но я не эксперт по безопасности. Насколько я понимаю, недействительный SSL-сертификат является проблемой только в том случае, если вы собираетесь предоставлять какую-либо потенциально пригодную для использования информацию на веб-сайт, и вы не уверены, что веб-сайт, на котором вы находитесь, действительно принадлежит организации, которой вы его считаете. быть.

Я спрашиваю, потому что мое рабочее место использует контентную фильтрацию, которая делает каждый сертификат SSL недействительным. Браузер видит веб-сайт как происходящий с сервера фильтрации контента в сети, а не с фактического сервера, с которого обслуживается веб-сайт. У меня возникает соблазн просто отключить проверку сертификатов в моем браузере (Firefox), потому что он для меня ничего не делает, кроме создания проблем, но я хотел проверить, есть ли какой-то аспект проблемы, который я мог бы пропустить? Я достаточно умен, чтобы убедиться, что веб-сайт, который я посещаю, является веб-сайтом, который я посещаю без подтверждения сертификата, поэтому, исходя из моего понимания, у меня не должно возникнуть никаких проблем.

Answer 1

По сути, с таким прокси ваш работодатель может просматривать даже банковскую информацию и тому подобное через SSL, потому что у него есть незашифрованная копия через прокси. Ваш компьютер запрашивает веб-страницу с прокси-сервера, а затем прокси-сервер вашего работодателя запрашивает страницы у получателя от вашего имени, и программное обеспечение прокси получает незашифрованную копию, потому что она находится посередине. Таким образом, прокси-сервер может видеть содержимое каждой веб-страницы, которую вы видите. Единственный способ защиты SSL - это когда ваш ПК и конечный ПК общаются напрямую через SSL.

Ваш браузер правильно предупреждает вас, что ваша информация не защищена. Я думаю, что связь между этими тремя точками все еще использует шифрование, поэтому весь мир не может это увидеть - только ваш работодатель.

Помните, что даже при правильном включении SSL ваш работодатель может видеть URL-адреса (в адресной строке браузера), по которым вы переходите. Большинство поисковых систем, таких как Google, размещают в URL много информации (слова, которые вы искали и т.д.).

Answer 2

Основная проблема, IMHO, заключается в том, что ваш браузер (или браузер вашего клиента) всегда жалуется на недействительные сертификаты. Если это происходит время от времени, вы идете и проверяете, является ли ошибка или нет. Если это происходит каждый раз, когда вы прекращаете проверку. Я имею в виду, что ваша информация может быть защищена от перехвата, потому что вы шифруете канал связи, но вы можете разговаривать с мошенническим сервером, и это может быть легко использовано.