Czy jestem zabezpieczony przed oprogramowaniem do monitorowania sieci, jeśli używany jest HTTPS?

9

Będę logować się na swoje konto bankowe i osobiste konta e-mail w pracy. Nie jest zbanowany w pracy, ale po prostu nie chcę, aby zapisywali / rejestrowali kopie wszystkiego, co robię z tymi usługami. Zwłaszcza moje hasła.

Jeśli usługa korzysta z połączenia HTTPS, czy moja firma będzie w stanie śledzić / zapisywać / rejestrować moje hasła, których używam do tych usług? co z zawartością stron?

Ponownie, zasady w mojej firmie nie zabraniają korzystania z mojego osobistego konta e-mail lub usług bankowości internetowej, ale po prostu nie chcę, aby znały ważne informacje na ich temat. Jest w porządku, jeśli wiedzą, że ich używam, ale nie powinni uzyskać dostępu do moich haseł.

Czy mogę bezpiecznie z nich korzystać (wiedząc, że moja firma nie może zapisać żadnych z tych danych), jeśli używany jest HTTPS?

PS Naprawdę nie jestem facetem od sieci i nie wiem wiele o tym, jak te rzeczy działają. Więc proszę nie udzielaj żadnych odpowiedzi RTFM.

— quack quixote
źródło

Jak już odpowiedziano: sieć nie stanowi problemu. Ślady pozostawione przez przeglądarkę (na komputerze, którego używasz) są znacznie bardziej prawdopodobne. Niektóre przeglądarki mają jawne ustawienia umożliwiające włączenie / wyłączenie zapisywania zaszyfrowanych stron w pamięci podręcznej offline. (Podobnie jak w przeglądarce Firefox: kb.mozillazine.org/Browser.cache.disk_cache_ssl, która domyślnie przyjmuje wartość false, co jest bezpieczne.)

— Arjan

Używam trybu „prywatnego przeglądania” w Firefoksie. Mam nadzieję, że to nie zapisze rzeczy w moim systemie.

Nie, znacznie bardziej prawdopodobne jest, że Twoja firma ma oprogramowanie monitorujące na stacji roboczej, które monitoruje i rejestruje twoje działania.

— BBlake

Hej, dzięki za wszystkie odpowiedzi! Wyjaśniłeś wiele rzeczy. Teraz rozumiem, co jest możliwe i co moja firma może / nie mogłaby robić. Sądząc po tym, co wyjaśniliście, oraz wiedzy technicznej mojej firmy, mogę stwierdzić, że jest bardzo mało prawdopodobne, że poznają rzeczy wysłane za pośrednictwem HTTPS. Dzięki za wszelką pomoc! :) Nie jestem członkiem, więc nie mogłem głosować za dużo odpowiedzi, mimo że na to zasługują.

9

Przed udzieleniem odpowiedzi: jeśli przeglądarka ostrzega, że witryna używa słabego szyfrowania lub podaje nieprawidłowe informacje o tożsamości, ważne jest, aby przeczytać błąd, zrozumieć go i zastanowić się, czy chcesz kontynuować.

Krótka odpowiedź: Tak, jeśli używasz zaufanego urządzenia

Długa odpowiedź:

Jeśli ktoś monitoruje twoje połączenie z innego komputera (gdzieś między tobą a twoim bankiem), a ty używasz HTTPS, a oni używają podpisanych certyfikatów z odpowiednio silnym algorytmem, oznacza to, że nie masz wątpliwości. (Chyba że przechowują dane przez lata, a później czytają je po złamaniu algorytmu - ale prawdopodobnie lepiej byłoby włamać się do twojego domu i ukraść twoje rzeczy;)).

Możliwe, że jeśli to twój bank, używają podpisanych certyfikatów z odpowiednio silnym szyfrem. Możesz to sprawdzić, patrząc na informacje SSL dla strony, które powinny być wyświetlane, jeśli spojrzysz na informacje o stronie, kliknij niebieską lub zieloną nazwę po lewej stronie paska adresu w przeglądarce Firefox 3.5 lub kliknij blokadę, aby prawo w pasku adresu w IE8. Firefox wyświetli również zastosowany algorytm szyfrowania, jeśli wybierzesz opcję Więcej informacji po kliknięciu na kolorowy obszar.

Jeśli nie ufasz urządzeniu, którego używasz do połączenia (np. Komputerowi, który nie jest twoim własnym, który mógłby zostać zmodyfikowany przez innych), to jest to poważniejsze. Teraz Twoje miejsce pracy prawdopodobnie nie będzie robić nielegalnych działań, takich jak przeglądanie informacji bankowych; ale możliwe jest osłabienie protokołu SSL w przypadku naruszenia bezpieczeństwa systemu. Możliwe, że Twój komputer jest skonfigurowany do akceptowania certyfikatów podpisanych przez proxy (kontrola certyfikatu lub przypinanie certyfikatów może to uniemożliwić). Jednak nadzór może być wszędzie - keylogger nawet nie musiałby pokonać SSL, aby na przykład przechwycić twoje dane bankowe. SSL sprawia, że nie trzeba ufać połączeniu między dwoma zaufanymi punktami końcowymi, ale jeśli sam punkt końcowy jest niezaufany, wszystkie zakłady są wyłączone.

— Tyler Szabo
źródło

w porządku. Weźmy na przykład hotmail. Jeśli podczas logowania wybiorę opcję „użyj ulepszonych zabezpieczeń”, nastąpi przełączenie na połączenie HTTPS. w przeglądarce Firefox pasek adresu jest zielony, a z tego, co się tam wyświetla, myślę, że jest całkiem bezpieczny. Biorąc to za przykład, ze względów praktycznych, korzystanie ze stron internetowych z tego rodzaju połączeniem HTTPS jest całkowicie dozwolone, wiedząc, że nikt (przynajmniej w ciągu najbliższych kilku miesięcy) nie może odszyfrować informacji. Mam rację?

Tak myślałbym. Byłbym zaskoczony, gdyby administrator sieci uzyskał dostęp do twojego konta bankowego przy użyciu samego ruchu sieciowego podczas korzystania z HTTPS. To powiedziawszy, istnieją inne sposoby, na które możesz być narażony, nawet gdy korzystasz z bezpiecznego połączenia, i powinieneś postępować zgodnie z instrukcjami banku, jak korzystać z ich witryny - na przykład zawsze wylogować się po zakończeniu (w przeciwieństwie do zamknięcia okna), a nie przeglądanie innych stron podczas bankowości. Zawsze używaj aktualnej przeglądarki i upewnij się, że używany komputer jest zaufany z oprogramowaniem antywirusowym.

— Tyler Szabo

6

Nie, niekoniecznie. Twoja firma może wysłać Twoje połączenie za pośrednictwem serwera proxy, który działa jak człowiek pośredni. To znaczy: Cały ruch HTTPS przechodzi z komputera do serwera proxy, jest tam odszyfrowywany, analizowany, szyfrowany i wysyłany na serwer. Twój komputer nie będzie używał certyfikatu bezpieczeństwa z serwera, ale zamiast tego proxy wygeneruje jeden dla danej witryny i wyśle go do ciebie, więc naprawdę masz dwa połączenia HTTPS: od ciebie do proxy i od proxy do serwera.

Aby tak się stało, firma musi mieć serwer certyfikatów, aby wygenerować certyfikat. Zwykle przeglądarka sprzeciwiałaby się tutaj i skarżyła się, że urząd certyfikacji nie jest zaufany, ale oczywiście można to zastąpić za pomocą zasad grupy i tym podobnych.

Jednak niekoniecznie jest to nieuczciwa gra, ponieważ może być częścią koncepcji antywirusowej lub z przyczyn prawnych.

W przeglądarce spójrz na certyfikat. Zwłaszcza spójrz na urząd certyfikacji. Jeśli certyfikat jest wystawiany przez „prawdziwy” urząd certyfikacji, taki jak Thawte, VeriSign itp., Oznacza to, że używasz certyfikatu z serwera i powinieneś być bezpieczny. Jeśli jednak jest wydawany przez coś takiego jak „YourCompany-AV” lub podobny, oznacza to, że masz pośredniczącego pośrednika.

— Michael Stum
źródło

2

Myślę, że może należy tu podkreślić. Normalne serwery proxy nie tworzą certyfikatów w locie i nie odszyfrowują ruchu HTTPS (ale obsługują metodę CONNECT).

— Arjan

1

... ale potem znowu: Pytający pytanie jest zainteresowana, więc może to równie dobrze wymienić wszystkie możliwości. (A może jest więcej firm z takim proxy, niż mogłem sobie wyobrazić? W końcu +1!)

— Arjan

To prawda, że proxy zwykle przechodzą przez ruch HTTPS, ponieważ nie mogą nic z tym zrobić, i nie wiem, czy Inspekcja HTTPS rośnie, ale widziałem, że tak się stało, więc pomyślałem, że wskazałem taką możliwość.

— Michael Stum

Nie wiem, jak powszechna jest ta praktyka, ale robi to mój pracodawca. AFAIK ma się upewnić, że nie wysyłamy zastrzeżonych danych z sieci przez SSL.

— Dan Is Fiddling By Firelight

1

@senthil Celem HTTPS jest szyfrowanie ruchu i identyfikacja uczestników . Każdy, kto kontroluje linię, teoretycznie może być mężczyzną pośrodku (stąd nazywany jest nawet atakiem man-in-the-middle), ale w przeciwieństwie do niezaszyfrowanego HTTP, nie pozostanie to niewykryte. Jak powiedziano, sprawdź certyfikat i kto go wydał. Zwykle nie ma sposobu na sfałszowanie certyfikatu (w niektórych wersjach Debiana Linux był błąd, który umożliwiał sfałszowanie certyfikatów, ale jak dotąd był to izolowany incydent).

— Michael Stum

1

Ogólnie rzecz biorąc, jesteś bezpieczny. Ponieważ kiedy odwiedzasz stronę banku za pośrednictwem połączenia https, wszystkie dane, takie jak nazwa użytkownika i hasło, są szyfrowane, trudno jest je odszyfrować w bardzo krótkim czasie, chyba że znają dobrze algorytm szyfrowania . Istnieją jednak inne ataki, takie jak rejestrator kluczy, człowiek pośrodku będzie działał, jeśli będzie posiadał odpowiednią wiedzę. Zawsze należy zwracać uwagę na otoczenie przed wprowadzeniem poufnych informacji.

— Jan
źródło

człowiek pośrodku będzie działał, jeśli będzie kompetentny - z HTTPS?

— Arjan

1

Jeśli korzystasz z komputera należącego do firmy i wyraziłeś zgodę na zasady obowiązujące w firmie, mogą występować problemy specyficzne dla Twojej firmy. Nie znając żadnych dalszych szczegółów powiedziałbym, że powinieneś być bezpieczny, ale muszę to zrównoważyć z zastrzeżeniem. Technicznie jest to możliwe, ale jeśli prowadzisz „normalne” życie, istnieje wiele rzeczy, z którymi zmagasz się każdego dnia, które stanowią znacznie większe ryzyko dla twoich danych osobowych niż scenariusz, o który pytasz.

Kilka podstawowych rzeczy, o których należy pamiętać. Firma może nadal wiedzieć, które witryny odwiedzasz i na jak długo. Dane mogą być zaszyfrowane, ale nadal muszą być trasowane, aby adres, z którego dane przychodzą i do którego są odsłonięte.

Porady w innych odpowiedziach na temat korzystania z funkcji zabezpieczeń przeglądarki są dobre. Dodam, że powinieneś poświęcić chwilę na zapoznanie się z zasadami firmy dotyczącymi danych osobowych na komputerach roboczych.

— Jason Aller
źródło

Cześć, jak już wspomniałem, nie martwię się, że wiedzą, jakie witryny odwiedzam i na jak długo, o ile nie wiedzą, co wpisuję w polach tekstowych. I jestem absolutnie pewien, że nie mają rejestratorów kluczy.

1

Banki zazwyczaj używają szyfrowania 128-bitowego lub wyższego. Sprawdź właściwości ich certyfikatu SSL lub nawet poproś jednego z jego wsparcia technicznego, aby dowiedzieć się, co to jest. Jeśli jest poniżej 128, sugeruję, aby go nie używać. Ale jeśli jest to 128 lub więcej, wszystko powinno być w porządku. Chyba że ktoś w sieci z Ettercap, Wireshark, Shijack i potężnym chipem na ramieniu ma coś przeciwko tobie. Jeśli jednak martwisz się tym, po prostu nie korzystaj z bankowości internetowej w pracy. Z drugiej strony, co powstrzyma kogoś przed włamaniem się do komputera w domu, aby uzyskać informacje bankowe? Prawdopodobnie jesteś bezpieczniejszy w pracy. Moi menedżerowie ledwo mogli sprawdzić historię przeglądarki - chciałbym, aby złamali szyfrowanie SHA1-RSA zapewniane przez certyfikat SSL.

— użytkownik26528
źródło

ROFLOL .. Nie przestałem się śmiać przez 2 minuty po przeczytaniu twojej ostatniej linii: D

Czy po prostu połączyłeś razem kilka słów związanych ze styczną?

— Bryan Boettcher

0

W rzeczywistości jesteś bezpieczny po prostu dlatego, że ogólnie administratorzy sieci mają lepsze rzeczy do zrobienia. Technicznie nie, twoje dane nie są bezpieczne. Nie powiedziałeś, w jakiej dziedzinie się znajdujesz, ale na przykład praca call center będzie miała systemy, które są bardzo monitorowane. Szyfrowanie danych nie ma znaczenia, czy naciśnięcia klawiszy są rejestrowane, a ekran przechwytywany w ramach normalnej pracy. Jeśli obawiasz się, że administratorzy mogą chcieć przejrzeć informacje o koncie bankowym, NIE używaj swojego komputera służbowego do bankowości.

— DHayes
źródło

-1

Firmy często używają serwerów proxy i zapór ogniowych do analizy sieci, ale możesz być pewien, że ruch https nie może być wąchany przez żadne z nich. To podstawowa zasada https, aby zapobiec atakowi typu man-in-the-middle.

— Fernando Carvajal
źródło

Chcesz dodać odniesienie do kopii zapasowej swojego komentarza, więc jeśli chcą przeczytać więcej na ten temat, mogą być pewni?

— fernando.reyes

„Ale możesz mieć pewność, że ruch https nie może być obwąchany przez żadną z nich.„ Mogę potwierdzić, że jest to fałszywe w wielu firmach, w rzeczywistości wiele programów antywirusowych zabezpiecza to oświadczenie, jest to wyjątkowo i niebezpiecznie fałszywe

— Ramhound

@Ramhound bardzo się mylisz, to oczywiste, że twoje oprogramowanie antywirusowe może wąchać ruch, ponieważ wcześniej na to zezwoliłeś, to jest na twoim komputerze. Jeśli twoja firma jest właścicielem twojego biurowego komputera, to oczywiste, że może obwąchać twój ruch, może zainstalować certyfikaty ssl na twoim komputerze, więc Twoja przeglądarka będzie im ufać, a każdy, kto ma klucz prywatny, może oglądać twoje pakiety. Jeśli przyniesiesz komputer osobisty do swojego biura, nikt nie może wąchać ruchu. jesteście bardzo i niebezpiecznie w błędzie.

— Fernando Carvajal,

Autor tego pytania nie używa BYOD. . Jest to jasne w oparciu o kontekst pytania, w którym korzystają z komputera firmowego. W swojej odpowiedzi nigdy nie wyjaśniłeś BYOD. Powiedziałeś, że nie jest to możliwe, „ale możesz być pewien, że ruch https nie może być wąchany przez żaden z nich.”, Co w rzeczywistości nie jest prawdą. Ostatecznie nie ma znaczenia, kto ma rację, a kto nie.

— Ramhound

-2

Możliwe jest późniejsze zapisywanie pakietów i łamanie szyfrowania RSA, jednak ponieważ Internet opiera się na przełączaniu pakietów, jest mało prawdopodobne, aby jakikolwiek atakujący miał wystarczającą ilość substancji do odtworzenia pakietów TCP.

Wszystko i wszystko jest możliwe.

— Rekurencja
źródło

Możesz brutalnie wymusić nawet 1024-bitowy RSA przez kilka miesięcy na setkach komputerów ( pcworld.com/article/id,132184-pg,1/article.html ), a 2048-bit nie jest obecnie tak rzadki.

— whitequark

OK, nie dbam o to, czy to 399 tysiącleci, to nadal jest możliwe.

— Rekursja

Kto jednak wyda całą tę moc obliczeniową na zerwanie bankowego połączenia SSL, chyba że z tym użytkownikiem jest coś bardzo podejrzanego? Jak powiedziano wcześniej, jeśli jesteś normalnym pracownikiem i nie robisz już nic nielegalnego, nie powinieneś się martwić, chyba że szef ma bardzo dobry powód, aby cię szpiegować. On łatwiej byłoby ukryć pół tuzina kamer internetowych, aby szpiegować naciśnięcia klawiszy, niż odszyfrować ruch SSL.

— jfmessier

OK i jeszcze raz PO zapytał, czy to możliwe, a nie czy prawdopodobne. Głosuj proszę dalej.

— Rekursja

. miło z twojej strony, że znalazłeś czas na odpowiedź :). Wydaje mi się, że w moim pytaniu sugerowano praktyczność. Dlaczego miałbym się przejmować, gdyby ktoś dowiedział się o moim rachunku bankowym 399 000 lat po mojej śmierci? : P