„Proxy przechwytujący" (interception proxy) jest dokładniejsze, ponieważ urządzenie nadal zmienia ścieżkę komunikacji i może zmieniać zachowanie protokołu. „Transparentny" opisuje konfigurację klienta, a nie brak skutków dla bezpieczeństwa, prywatności lub zgodności.
Przekierowanie może używać routingu, przekazywania opartego na polityce, reguł zapory lub innego middleboxa. Zwykłe HTTP może być przetwarzane po przechwyceniu, ale HTTPS pozostaje nieczytelne, chyba że pośrednik terminuje TLS przy użyciu zaufania zainstalowanego na zarządzanych klientach. Przypinanie certyfikatów, wzajemne TLS, QUIC, protokoły niewebowe, IPv6 i alternatywne trasy mogą uniemożliwiać inspekcję.
Najważniejsze punkty
Kierowanie i zakresDokumentuj, które sieci, użytkownicy, protokoły, porty i rodziny adresów są przechwytywane. Wyjątki powinny być wąskie, zatwierdzone, monitorowane i testowane pod kątem niezamierzonego obejścia.
AtrybucjaZachowuj tożsamość źródła bezpiecznie i definiuj, które systemy mogą ufać nagłówkom dodawanym przez proxy. Translacja adresów sieciowych lub urządzenia współdzielone mogą w przeciwnym razie czynić logi mylącymi.
Prywatność i zgodaPrzechwytywanie TLS może ujawniać wysoce wrażliwe treści. Używaj zgodnego z prawem, udokumentowanego celu, minimalizuj zbieranie i retencję, chroń klucze zaufania i wykluczaj ruch, który nie powinien być deszyfrowany.
Istotne ograniczeniePrzechwytywanie nie może być zakładane jako niewidoczne ani uniwersalne. Może psuć aplikacje, osłabiać uwierzytelnianie end-to-end, pomijać alternatywne ścieżki i stawać się wąskim gardłem lub pojedynczym punktem awarii. Nieświadomy klient nie może też podejmować decyzji o błędach lub zaufaniu specyficznych dla proxy.