„Zachytávací proxy" (interception proxy) je přesnější, protože zařízení stále mění komunikační cestu a může měnit chování protokolu. Transparentní popisuje konfiguraci klienta, nikoli absenci dopadů na bezpečnost, soukromí či kompatibilitu.
Přesměrování může využívat směrování, předávání na základě politiky, pravidla firewallu nebo jiný middlebox. Prosté HTTP lze po zachycení zpracovat, ale HTTPS zůstává nečitelné, pokud prostředník neterminuje TLS pomocí důvěry nainstalované na spravovaných klientech. Certificate pinning, vzájemné TLS, QUIC, ne-webové protokoly, IPv6 a alternativní trasy mohou inspekci zabránit.
Klíčové body
Nasměrování a rozsahZdokumentujte, které sítě, uživatelé, protokoly, porty a adresní rodiny jsou zachytávány. Výjimky by měly být úzké, schválené, monitorované a otestované na nezamýšlené obcházení.
AtribuceBezpečně zachovávejte zdrojovou identitu a definujte, které systémy smí důvěřovat hlavičkám přidaným proxy. Překlad síťových adres nebo sdílená zařízení mohou jinak činit logy zavádějícími.
Soukromí a souhlasZachycení TLS může vystavit vysoce citlivý obsah. Používejte zákonný, zdokumentovaný účel, minimalizujte sběr a uchovávání, chraňte klíče důvěry a vyloučte provoz, který nemá být dešifrován.
Důležité omezeníZachycení nelze předpokládat neviditelné ani univerzální. Může rozbít aplikace, oslabit end-to-end autentizaci, minout alternativní cesty a stát se úzkým hrdlem či jediným bodem selhání. Nevědomý klient rovněž nemůže činit rozhodnutí o chybách či důvěře specifická pro proxy.