La mia azienda mi sta monitorando?

Sì. I certificati sono fondamentalmente una chiave pubblica con informazioni sul proprietario ad essa collegato. Possono essere firmati da un'autorità di certificazione per confermare che le informazioni sul proprietario siano corrette. Esistono già numerose autorità di certificazione nel tuo browser.

Ricevi l'avviso se il certificato, il server ti mostra, non è firmato da un'autorità di certificazione, il tuo browser si fida (o non è valido per altri motivi).

Un uomo nel mezzo ti ti costringerà ad accettare la sua chiave pubblica come chiave del server, in modo che possa utilizzare la sua chiave privata per decrittografare tutto ciò che gli viene inviato. Ricodifica quindi le informazioni e le trasferisce sul server reale.

Esistono soluzioni di sicurezza pronte all'uso , che funzionano in questo modo per analizzare il traffico https per virus e siti che non rispettano le linee guida aziendali di uso accettabile. Generano dinamicamente le chiavi per i server con cui si desidera parlare e firmano con la propria autorità di certificazione.

Nella maggior parte dei casi l'amministratore installa il certificato dell'autorità di certificazione aziendale come attendibile su tutti i computer dell'azienda, in modo che non venga visualizzato alcun avviso.

Prestare attenzione ai nomi delle autorità di certificazione nella catena di trust è probabile che rivelino tali sistemi, a meno che l'amministratore non faccia un grande sforzo per nasconderlo creando diverse CA locali con nomi corrispondenti.

Ci sono altri dettagli su Can my my società vedere quali siti https sono andato a?

Sì, c'è una tale possibilità ed è abbastanza probabile. Nel tuo caso, il modo migliore per essere sicuro è confrontare i certificati pubblicizzati da un sito web che utilizzi da due posizioni separate.

Supponiamo che, se sei un utente Gmail, quando sei a casa, vai al link , fai clic sull'icona del lucchetto o su una barra verde per a sinistra dell'indirizzo del sito Web e visualizza i dettagli del certificato. Cerca chi ha rilasciato il certificato (in altre parole, chi è l'autorità di certificazione - CA). Ad esempio, CA per mail.google.com è Thawte.

Inoltre, nota l'hash della chiave SHA-1 del certificato (è una lunga stringa di numeri e lettere). Per mail.google.com questo dovrebbe essere "68 AC 69 DF BE 72 B3 0D 08 0E 54 10 84 FD 78 91 FC BD 6D 9B".

Cerca lo stesso sito web quando sei al lavoro e confronta solo se vedi lo stesso certificato. Se no, tecnicamente sei sotto attacco Man-In-The-Middle. Il motivo più probabile è che un server proxy installato nel tuo ambiente di lavoro impone la decrittazione SSL per essere in grado di monitorare il traffico (quindi tecnicamente possono leggere le tue password, gli ID di sessione e tutti i dati che stanno arrivando).

Se è il caso, dovresti controllare con il tuo amministratore e chiedergli se è possibile spegnerlo. Controlla anche le leggi locali se questo è legale, ma suppongo sia (è nel mio paese).

Gli errori SSL potrebbero anche significare che la data del tuo computer è sbagliata - se è troppo lontano nel passato o nel futuro (come un anno), ciò renderebbe alcuni dei certificati scaduti o non ancora validi.

Inoltre, potresti avere un'infezione da virus che tenta di decodificare il traffico. Oppure qualcun altro (il tuo collega) al tuo lavoro sta provando l'attacco ARP spoofing per monitorare il tuo traffico. Ci sono molte possibilità, ma gli errori di certificazione sui siti che visiti regolarmente sono sicuramente qualcosa di cui preoccuparsi.

L'autenticazione a 2 fattori in Google non ti aiuterà.

La tua azienda non cercherebbe i tuoi parametri di autenticazione (username / password); piuttosto proverebbero a prevenire / riconoscere la perdita di informazioni dalla compagnia (vedi Wikileaks). Ma se si lavora in modalità end-to-end SSL (come con gmail), la società non è in grado di monitorare il proprio traffico, pertanto è necessario eseguire la terminazione SSL nel mezzo (o MITM). Ora, anche se esegui l'autenticazione a 2 fattori in Google, possono comunque terminare SSL e monitorare il traffico.

Di solito le aziende avranno una politica formale per il monitoraggio web. Ad esempio, è comune che le istituzioni finanziarie / sanitarie / governative siano escluse da tale monitoraggio. Inoltre ci sono alcune regole legali per questo. Da quello che so è illegale monitorare il traffico sanitario in Francia.

Quindi ti suggerisco di andare al tuo dipartimento IT / sicurezza e chiedere loro quale traffico viene monitorato e cosa no.

Aaron

Chi lo sa. Dovresti prestare attenzione agli errori effettivi.

Il problema più comune è semplicemente che l'orologio è spento. HTTPS richiede che l'orologio del tuo computer e l'orologio del webserver siano in qualche modo sincronizzati. Se è un anno di pausa, ad esempio, otterrai una serie di errori del genere.

L'errore specifico che stai cercando è controllare che il nome del sito web nel certificato corrisponda al sito che stai per visitare e che sia stato firmato da autorità di certificazione legittime. Un buon sito di test è link .