Firewall-urile, proxy-urile și gateway-urile web securizate termină conexiunea TLS de la client, inspectează textul în clar pentru malware, exfiltrare de date sau încălcări ale politicii, apoi deschid o a doua sesiune TLS către destinație. Middlebox-ul acționează efectiv ca un man-in-the-middle autorizat, ceea ce cere ca autoritatea sa de certificare să fie de încredere pentru dispozitivele gestionate.
Puncte esențiale
Domeniu de inspecțieDefiniți categoriile și destinațiile de inspectat sau ocolit — traficul financiar și medical, aplicațiile cu certificate pinning și fluxurile sensibile din punct de vedere legal pot justifica excluderea.
Gestionarea lanțului de încredereClienții trebuie să aibă încredere în CA-ul de inspecție; dispozitivele negestionate, pinning-ul și certificate transparency toate rezistă sau expun interceptarea.
Limitare importantăInspecția rupe prin design garanțiile capăt-la-capăt. Centralizează traficul decriptat și cheia CA pe middlebox, poate slăbi sau raporta greșit validarea certificatelor, poate ascunde unele atacuri care oricum nu pot fi decriptate și poartă obligații de confidențialitate și legale ce cer o politică explicită.