„Proxy de interceptare” este mai precis, deoarece dispozitivul tot schimbă calea de comunicație și poate schimba comportamentul protocolului. „Transparent” descrie configurarea clientului, nu absența efectelor asupra securității, confidențialității sau compatibilității.
Redirecționarea poate folosi rutare, forwardare bazată pe politici, reguli de firewall sau alt middlebox. HTTP în clar poate fi procesat după interceptare, dar HTTPS rămâne ilizibil dacă intermediarul nu termină TLS folosind încredere instalată pe clienții gestionați. Certificate pinning, mutual TLS, QUIC, protocoale non-web, IPv6 și rute alternative pot împiedica inspecția.
Puncte esențiale
Dirijare și domeniuDocumentați ce rețele, utilizatori, protocoale, porturi și familii de adrese sunt interceptate. Excepțiile trebuie să fie înguste, aprobate, monitorizate și testate pentru ocoliri neintenționate.
AtribuirePăstrați identitatea sursei în siguranță și definiți ce sisteme pot avea încredere în anteturile adăugate de proxy. Translatarea adreselor de rețea sau dispozitivele partajate pot altfel face jurnalele înșelătoare.
Confidențialitate și consimțământInterceptarea TLS poate expune conținut extrem de sensibil. Folosiți un scop legitim, documentat, minimizați colectarea și retenția, protejați cheile de încredere și excludeți traficul care nu trebuie decriptat.
Limitare importantăInterceptarea nu poate fi presupusă invizibilă sau universală. Poate întrerupe aplicații, slăbi autentificarea capăt-la-capăt, rata căi alternative și deveni un blocaj sau un punct unic de eșec. Un client care nu știe de proxy nu poate lua nici decizii de eroare sau încredere specifice acestuia.