Dotaz: Detekce HTTPS proxy webserverem

[Yack]

Dobrý den, měl bych otázku. V práci máme nějaký firewall s proxy serverem, který kontroluje všechen provoz včetně HTTPS (firewall dešifruje a předává dál podepsané fake CA). Zajímalo by mě - je možné tohle chování nějak detekovat na straně webserveru (Apache)? Prostě jestli může nějak poznat že se baví s proxy a ne s cílovým klientem, a třeba to přes nějakou proměnnou předat PHP stránce, která ukáže varování že někdo po cestě dělá MITM.

Odpovědi

[vencour]

V principu analýzou provozu, buď podle zdrojové IP adresy nebo podle toho, jak se identifikuje klient v user agentovi proti serveru.

[t]

Napadá mě nasadit HPKP a pak v javascriptu poslat požadavek a zkontrolovat, že z odpovědi ty hlavičky nikdo nezahodil.

[Filip Jirsák]

Bezpečně se to dá poznat tak, že server bude vyžadovat přihlášení klientským certifikát – to ta MitM proxy podvrhnout nedokáže (pokud jí tedy klient neposkytne svůj privátní klíč). Jinak se to spolehlivě poznat nedá – kdyby bylo možné nějak jinak spolehlivě rozpoznat MitM útok, nepotřebujeme certifikáty.

Odhadovat by se to dalo třeba podle sady protokolů a šifer, které klient podporuje, protože bude nejspíš jiná u MitM proxy a u skutečného klienta. A pak bych taky docela věřil tomu, že ta MitM proxy bude špatně validovat certifikáty, takže přes ní projde i certifikát, který by prohlížeč odmítl. Zkusil bych třeba certifikát s SHA-1 podpisem, prošlý certifikát nebo odvolaný certifikát. A také by mne vůbec nepřekvapilo, kdyby si ta MitM proxy neporadila s HTTP/2 nebo s WebSocketem.