Zapory sieciowe, serwery proxy i bezpieczne bramy internetowe terminują połączenie TLS od klienta, inspekcjonują tekst jawny pod kątem złośliwego oprogramowania, eksfiltracji danych lub naruszeń polityki, a następnie otwierają drugą sesję TLS do miejsca docelowego. Middlebox faktycznie działa jako autoryzowany człowiek w środku (man-in-the-middle), co wymaga, aby jego urząd certyfikacji był zaufany przez zarządzane urządzenia.
Najważniejsze punkty
Zakres inspekcjiDefiniuj kategorie i miejsca docelowe do inspekcji lub pominięcia — ruch finansowy i zdrowotny, aplikacje z przypiętymi certyfikatami (certificate pinning) i przepływy wrażliwe prawnie mogą zasługiwać na wyłączenie.
Zarządzanie łańcuchem zaufaniaKlienci muszą ufać urzędowi certyfikacji inspekcji; urządzenia niezarządzane, pinning i przejrzystość certyfikatów (certificate transparency) opierają się przechwyceniu lub je ujawniają.
Istotne ograniczenieInspekcja z założenia przerywa gwarancje end-to-end. Centralizuje zdeszyfrowany ruch i klucz CA na middleboxie, może osłabiać lub błędnie raportować walidację certyfikatów, może ukrywać część ataków, których i tak nie da się odszyfrować, oraz niesie obowiązki prywatnościowe i prawne wymagające jawnej polityki.