问题
公司连入网络需要安装证书，进行 802.1X 的账户密码鉴定，mac 绑定 ip 地址。 证书现在只信任 EAP 协议以及 X.509 基本策略。 这种情况下，HTTPS 会被审计吗？网管可以通过这 2 个协议进行中间人攻击来监听信息吗？
This topic created in 3234 days ago, the information mentioned may be changed or developed.
 |
jedrekDec 27, 2017
1
曝光名字, 避免踩坑
|
 |
oott123Dec 27, 2017
2
https 不会
|
 |
dr3amDec 27, 2017
3
https 协议目前很难审计。。毕竟需要审计设备支持的证书足够多，放心吧
|
 |
runntuuDec 27, 2017 via iPhone
7
现在对 https 的审计实现基于中间人拦截技术，通常做法是在网络出口加审计设备对 https 请求拦截，由审计设备代为发起 https 请求并返回结果。
这样做的最大 bug 是替换掉了原始 ssl 证书，所以要验证也很简单，打开网页的时候检查地址栏是不是有小绿锁，证书的颁发机构还是不是目标网站。 |
 |
coolcoffeeDec 27, 2017 via iPhone
8
你用 charles mac 版本试一下导入根证书，然后按照那样的证书设置，最后再看下劫持 https 的时候浏览器有没有警告
|
 |
9
@runntuu 问题在于类似微信 /邮箱这种，并不能在浏览器里验证 HTTPS 的颁发机构。然后我现在已经信任了根证书(虽然不是全部协议都信任，如上图所示)，所以存在中间人代为发起的可能性，这种有验证方法吗？
|
|
10
@coolcoffee 可是我的出口是依托公司的网络，而 charles 只是在软件级的拦截。会不会不一样呢？
|
 |
gamexgDec 27, 2017
11
打开一个 https 站点，然后查看证书是谁签发的，如果是公司签发的就可以监听，否则现在没监听。
|
 |
rrfengDec 27, 2017 via Android
13
如果你设置信任中间人的证书，那也会显示小绿锁。
|
 |
xenmeDec 27, 2017 via iPhone
14
本地抓个包，看看 ssl 协商发过来的 server certificate 就好了么
wifi 认证的就是个 server cert，并不是 root ca，基本不会用来 mitm 的。再说，要监控企业部署个 root ca 到你电脑上也行啊，没必要混用 |
|
xenmeDec 27, 2017 via iPhone
15
刚仔细看才发现是 root，抓包吧，包头很容易看到的，很容易确定
|
 |
dndxDec 27, 2017 via iPhone
16
选择只信任 EAP，TLS 连接不会尝试用这个 CA 验证的。
|
|
17
@xenme 我们现在企业就是让我安装 root ca 才能通过验证上网啊，如果所示。。。。。。
所以疑问就是，如果程序走 ssl，不确定有没有黑科技能够被出口捕获攻击 |
 |
mooncakejsDec 27, 2017
19
@jedrek 对于一些公司来说，审查网络很正常吧
|
 |
avrillavigneDec 27, 2017
21
公司有 root ca 不说话
 |
|
22
@avrillavigne 因为要验证上网啊，只是考虑附带的风险
|
 |
julyclydeDec 27, 2017
24
你这个只能叫自签名证书
不能叫根证书 虽然安装以后是装在根证书区里的 |
 |
TigerKDec 27, 2017
25
你可以只给一个浏览器安装证书啊，比如说 Firefox，可以创建好几个用户配置呢
|
 |
yingfengiDec 27, 2017 via Android
26
明显是做 https 审计了
这种策略我上过，某公司弄了。 设备签发一个证书的，你信任了设备的根证书。 |
 |
ouqihangDec 27, 2017
27
要看公司是怎么规定的，有些证书真的只是鉴权用。
|
 |
azh7138mDec 27, 2017 via Android
28
黄龙国际？怕不是同事。。。
|
 |
terence4444Dec 27, 2017 via iPhone
29
Firefox 证书独立于操作系统
|
 |
leotsDec 27, 2017
30
我们学校也是通过这种方式认证上网的...
后来发现其实只是用来认证上网...... |
|
34
@terence4444 mac 上面是要系统级信任证书才能进行 802.1x 认证登陆。主要是要认证了才能上网。
|
 |
lsheroDec 27, 2017 via Android
38
打开浏览器看看当前站点用的证书不就搞定了嘛
|
 |
zscselfDec 27, 2017
39
就是公司图省钱不愿意买证书，自己整了个根证书呗~
我认为哈，既然勾选了“ SSL 不信任”，是不是就意味着在 SSL 握手过程中，系统会把这个根证书标记为不信任，所以应该是无法进行审计的。 |
|
yingfengiDec 28, 2017 via Android
40
@copriwolf ssl 审计是这样子的
当你访问某个 https 的站点的时候，设备先进行 ssl 卸载，然后针对该域名签发一个证书，然后 https 的方式把网页发给你。 这样子的话，你不信任设备的根证书，https 压根没法访问。 |
|
41
@yingfengi 噢我以为审计是类似中间人，直接出口代替本机去与远程服务器交互 https，然后因为信任了自签发的证书，所以出口与本机也是 https，实现了信息拦截。
|
 |
zhsjDec 28, 2017
48
根证书也是分用途的。。。
> 公司连入网络需要安装证书，进行 802.1X 的账户密码鉴定 802.1x 认证用的根证书，如果在系统把这个证书的用途限制在了只能进行设备认证，就不会影响到你 HTTPS 访问。 最简单就是你 HTTPS 访问网页的时候，在浏览器里看下所用的证书是谁签发的，和你公司的根证书对比下就好了。 |
|
yingfengiDec 31, 2017
49
才看到说 QQ 审计的问题，QQ 升级靠客户端，简单的来说就是你要用我的网络就必须在电脑装一个插件，不然不给用。
有点公司就是这么恶心，必须做这个。就遇到过一次，做期货的。 |
Select Language