Un provider VPN può mitMare il mio traffico SSL senza che me ne accorga?

How does the provider forward the traffic without exposing my IP, but also without breaking the SSL.

SSL è protezione (come la crittografia) su TCP che si trova sulla parte superiore dell'IP. I livelli sottostanti (TCP, IP) possono essere modificati senza modificare i dati trasportati. Ciò significa che la crittografia può essere mantenuta anche se il tuo indirizzo IP a livello di rete sta cambiando.

Questo è simile ad avere una posta criptata (cioè PGP o S / MIME). Non importa se viene trasportato tramite più server di posta, viene memorizzato su macchine diverse ecc. - la parte crittografata della posta stessa e il suo contenuto interno non saranno cambiati.

... but how do next gen firewalls like palo alto claim they can do deep packet inspection on ssl traffic without the users noticing?

Non lo fanno. Se il contenuto interno delle connessioni SSL deve essere analizzato, il sistema DPI fa un "attacco" centrale, ovvero è il punto finale della connessione SSL dal punto di vista del server e decrittografa il traffico e lo crittografa nuovamente per presentarlo al cliente. Solitamente ciò comporterà un avviso di sicurezza per l'utente poiché il nuovo certificato per la connessione (creato dal sistema DPI) non è considerato attendibile. Ma questo può essere reso più trasparente per l'utente se l'utente si fida esplicitamente dell'appliance DPI.

Per i dettagli vedi Come funziona il server proxy SSL in azienda lavoro? , Deep SSL di ispezione dei pacchetti: come le appliance DPI impediscono gli avvisi dei certificati? o È prassi comune per le aziende il traffico HTTPS MITM? .

Why can't the VPN provider just use a similar box to decrypt it?

In realtà potrebbe farlo.

Solo, in teoria, gli utenti avrebbero bisogno di fidarsi esplicitamente del provider VPN per l'ispezione del traffico SSL simile a quanto fatto nelle aziende. Tuttavia, se per esempio installate il software VPN fornito dal provider VPN, questo software potrebbe effettivamente fidarsi silenziosamente del computer del provider VPN per l'intercettazione SSL in modo da non rendervi conto che il provider può sniffare e persino modificare il traffico crittografato. Questa installazione silenziosa delle autorità di certificazione attendibili è in realtà ciò che fanno molti prodotti antivirus, in modo da annusare il traffico crittografato e proteggere l'utente dagli attacchi recapitati all'interno di connessioni crittografate.

In teoria si potrebbe scoprire che il provider sta facendo questo osservando la catena di certificati per ogni connessione SSL e confrontandola con quella prevista. Oppure si può guardare alle autorità di certificazione locali attendibili e vedere se ne è stato aggiunto uno. Tuttavia, se si installa il software dal provider VPN, il provider potrebbe anche modificare parti del sistema come il browser per nascondere l'ispezione da parte dell'utente. E questo non è limitato al software fornito dal provider VPN: qualsiasi software installato potrebbe apportare tali modifiche.

Vedi anche Come posso rilevare l'ispezione HTTPS? .

La risposta breve è: il tuo provider VPN può fare tutto ciò che il tuo ISP può fare se non stai usando una VPN.

Questo può includere la rottura di TLS, se il tuo browser si fida di una CA radice, che ha emesso un certificato intermedio per le caselle centrali. Stai spostando la fiducia nel non farlo dal tuo ISP al provider VPN.

La maggior parte di tali caselle intermedie richiede agli utenti di installare una nuova CA principale. Sei protetto da questo, perché probabilmente non hai installato un certificato dal tuo provider VPN. Ma c'erano alcune appliance che in passato avevano validi certificati intermedi di fiducia del browser. Non sono sicuro che ce ne siano ancora.

Can a VPN Provider MitM my SSL traffic without me noticing?

Riguardo a ciò in particolare, a meno che non abbiano la chiave privata del sito web, allora puoi notare. Se ti fidi del certificato del provider VPN nei tuoi browser, devi cercare attivamente quale certificato viene utilizzato da ogni sito, naturalmente, ma puoi notare se presti attenzione. Estensioni del browser come Certificate Patrol possono aiutarti se visiti i siti sia con che senza la tua VPN; notificheranno le modifiche del certificato.

Shouldn't gmail know my real IP if the traffic just gets tunneled through the provider?

Forse; dipende. L'indirizzo IP di origine è quello del provider VPN; tuttavia, se Gmail o un altro sito Web invia al browser Javascript o script di un'altra lingua che il browser accetta e esegue che raccoglie il tuo IP (o altre informazioni ancora più private), quindi lo invia all'organizzazione o a una terza parte! / p>

Se quella trasmissione è su TLS ininterrotto, le tue informazioni sono state fornite solo al sito a cui è stato inviato e tutti coloro che condividono tale sito con volontà o riluttanza.

Se quella trasmissione non è stata crittografata, tutti tra te e loro possono vederlo.

Se quella trasmissione è stata crittografata con crittografia rotta, è molto complessa, ma si trova tra i due estremi sopra.

I thought about invalid certificates if the ssl gets broken, but how do next gen firewalls like palo alto claim they can do deep packet inspection on ssl traffic without the users noticing?

Lo fanno perché hanno una copia della stessa chiave privata per il certificato che il server web stesso usa! Proprio come il server web decrittografa il traffico TLS con la sua chiave privata, l'appliance decrittografa la sua copia del traffico con la chiave privata del server web.

Why can't the VPN provider just use a similar box to decrypt it?

La società VPN che possiede una copia della chiave privata TLS del sito finale sarebbe una circostanza eccezionale che coinvolge i principali attori degli stati nazionali, attività criminali eccezionali e / o il sanguinante exploit di zero day critici come Heartbleed.

I am a bit curious about how much data a VPN provider could potentially collect about me.

Almeno quanto pensi di permetterti di fare.

Inviate le vostre richieste DNS tramite VPN? Loro possono vederlo. In caso contrario, il tuo ISP può vederlo.

Consenti il traffico HTTP? Possono vedere - e alterare in transito - quello. Attenzione, include il traffico di terze parti.

Possono sicuramente vedere quali indirizzi IP hai intenzione e i modelli di dati che sposti. Possono quindi confrontarsi con un'analisi statisticamente significativa del traffico di molte persone, nonché test deliberati e informazioni pubbliche che raccolgono.

• vale a dire. Si inviano alcuni troppo grandi per essere semplici pacchetti di richiesta di pagina per link ? Stai inviando qualcosa che hai digitato sulla rete di siti Stackexchange; una semplice correlazione di quelle grandi trasmissioni con nuove domande e risposte rivelerà molto rapidamente il tuo nome utente stackexchange.

Consenti algoritmi di crittografia danneggiati? Potrebbero o potrebbero non essere in grado di vederlo.

Certamente non hai informazioni dettagliate su ciò che registrano, indipendentemente da ciò che rivendicano (o sono obbligati a rivendicare in base ai governi che controllano tutti i server coinvolti nel tuo traffico e della gestione di tale azienda e delle persone che vi lavorano - Se il tuo endpoint VPN, o la gestione aziendale, o gli amministratori di server in subappalto moltiplicati sono / sono in RepressiveRegimeX, RepressiveRegimeX ha un grande potere su di esso.

Prova, almeno per un po ', Firefox con il plugin di Matrix (per mostrarti le mappature di quali richieste di terzi vengono fatte dai siti che visiti) e con HTTPS Everywhere per limitare l'uso di HTTP.

Anche in Firefox, vai su about: config, cerca su tls per vedere le versioni TLS permesse, e cerca su ssl3 per vedere quali pacchetti di crittografia sono abilitati.

Su ogni browser che utilizzi, vai su SSLLabs e fai un test del client per vedere cosa potrebbe essere debole che quel browser consente su quella macchina ; rimuovi quelli.

Come opzione avanzata, utilizza wireshark o un altro strumento per vedere cosa sta effettivamente succedendo nella tua VPN e cosa no. È possibile - o meno - essere in grado di vedere una connessione TLS effettiva, in modo da poter vedere la suite di cifratura o la scelta dell'algoritmo negoziata.

• Presta particolare attenzione a dove stanno andando le tue richieste DNS, la porta UDP 53. Tramite il tuo provider VPN, o no?

Insoddisfatti delle risposte esistenti perché, in circostanze normali, è semplicemente No .

Una VPN è solo la tua connessione. Possono tentare di bloccare o rimuovere SSL, ma se si effettua una connessione SSL a un altro sito, utilizzando una catena di certificati attendibile e priva di interferenze, i dati da e verso il browser vengono crittografati dal provider VPN.

Possono vedere [approssimativamente] dove ti stai connettendo. Vedono gli indirizzi IP e le porte. Tutto il contenuto su TLS (comprese le richieste di host in HTTP) viene crittografato lontano da loro. Il provider VPN potrebbe anche essere in grado di vedere quali richieste DNS sta facendo il tuo browser, anche se questo è meno indicativo di ciò che stai facendo perché i browser sparano a milioni di questi mentre navighi. Puoi ottenere DNS crittografati separatamente se questo è un problema.