Prima nota che nella maggior parte dei casi gli amministratori di rete non guardano il tuo traffico, anche se possibile. Quindi il seguente descrive solo i modi in cui gli amministratori potrebbero in teoria guardare il tuo traffico se lo desiderano.
I am using my own device on their wifi network, so there is no possibility of a fake CA being installed on my system?
Potresti non essere pienamente consapevole del tipo di certificati CA che hai già installato e di cosa si può fare con questi:
- Nelle installazioni di Enterprise Wifi spesso si autorizza contro il Wifi con un nome utente e una password e si autentica il punto di accesso convalidando il suo certificato. A tale scopo è necessario installare la CA appropriata sul proprio sistema. In molte configurazioni l'uso di questa CA non è limitato all'autenticazione del punto di accesso, ma è installato a livello globale nel sistema e potrebbe quindi essere utilizzato anche per l'intercettazione SSL. Tali installazioni Wifi spesso si trovano anche nelle università, ad esempio eduroam
- Diverse università dispongono di una propria CA intermedia che si basa su una CA attendibile dal browser. Questo è almeno molto comune in Germania, dove il certificato di root è Deutsche Telekom Root ... , il livello successivo è DFN-Verein ... e poi arriva l'università CA che rilascia quindi i certificati per i sistemi di proprietà dell'università.
Nell'ultimo caso, una qualsiasi CA intermedia potrebbe rilasciare un certificato per qualsiasi server, anche se non lo possiede. Tale uso improprio verrà rilevato anche quando viene utilizzato il blocco del certificato poiché in questo caso la chiave pubblica prevista del certificato non corrisponderà alla chiave pubblica vista dal certificato emesso. Poiché alcuni siti importanti come Google sono pre-pinnati all'interno di almeno Chrome e Firefox, verrebbero rilevati se questi certificati vengono falsificati in questo modo.
Ma nel primo caso i controlli di blocco potrebbero essere disabilitati perché la CA è stata importata esplicitamente come CA radice affidabile e quindi è ufficialmente autorizzata a eseguire l'intercettazione SSL. Questo ha senso in caso di intercettazione SSL per ragioni di sicurezza come fatto in firewall e antivirus ma probabilmente non per le CA utilizzate per autenticare un punto di accesso WiFi. In questo caso è molto più difficile rilevare tale MITM perché su deve verificare l'intera catena di certificati nel browser, fino al certificato radice attendibile.
I've taken google as an example because it uses SSL.
... The padlock icon indeed is active, when I visit Google, and shows the correct certificate.
Dipende da ciò che consideri un certificato "corretto". Se si controlla solo che il certificato è stato rilasciato per il sito corretto, questo potrebbe non essere sufficiente. Se invece si è verificata la catena completa fino alla radice o se si è verificata l'impronta digitale del certificato rispetto a un'impronta digitale nota, si è probabilmente sicuri, almeno per questo specifico sito. Ma anche se un sito specifico come google non viene intercettato non significa che tutti gli altri siti non vengano intercettati perché tale intercettazione può essere fatta in modo selettivo.
So, can I be sure that they are not able to see my Google searches?
Anche se non intercettano la connessione SSL e quindi non possono vedere direttamente che tipo di ricerche fai, vedono quali siti hai visitato (almeno il dominio, anche con https) e in quale momento e possono dedurre da ciò che cosa potresti essere alla ricerca di Anche alcuni motori di ricerca (non Google però) inseriscono la stringa di ricerca originale nel Referer della richiesta HTTP quando si fa clic su un risultato di ricerca e quindi il sito target può vedere ciò che hai cercato. E se la richiesta al sito di destinazione non è stata eseguita con https o l'intercettazione SSL è stata fatta, allora l'università potrebbe in teoria anche annusare questa richiesta HTTP, estrarre il Referer e avere la query di ricerca originale.