Firewally, proxy a zabezpečené webové brány terminují spojení TLS od klienta, kontrolují plaintext na malware, exfiltraci dat či porušení politiky a poté k cíli otevřou druhou relaci TLS. Middlebox fakticky působí jako autorizovaný man-in-the-middle, což vyžaduje, aby spravovaná zařízení důvěřovala jeho certifikační autoritě.
Klíčové body
Rozsah inspekceDefinujte kategorie a cíle určené k inspekci či vynechání — finanční a zdravotní provoz, aplikace s certificate pinningem a právně citlivé toky mohou vyloučení opravňovat.
Správa řetězu důvěryKlienti musí důvěřovat inspekční CA; nespravovaná zařízení, pinning a certificate transparency zachycení odolávají nebo jej odhalují.
Důležité omezeníInspekce ze své podstaty ruší end-to-end garance. Centralizuje dešifrovaný provoz a klíč CA na middleboxu, může oslabit nebo chybně hlásit validaci certifikátů, může skrýt některé útoky, které stejně nelze dešifrovat, a nese povinnosti soukromí a práva, jež vyžadují explicitní politiku.