L'ispezione SSL è essenzialmente un attacco man-in-the-middle fatto con l'approvazione del proprietario di una parte della transazione; Alice pensa di stabilire un canale sicuro per Bob, ma in realtà sta creando un canale sicuro per il suo datore di lavoro Eve, che legge il traffico, quindi stabilisce un canale sicuro per Bob e lo trasmette.
Per far funzionare tutto questo, Eve deve generare e firmare un certificato falso per Bob e usarlo per proteggere la comunicazione con Alice. Eve è in grado di farlo perché il computer di Alice ha elencato Eve come Autorità di certificazione attendibile. (Eve possiede il computer di Alice, quindi è stato in grado di aggiungersi a quella lista.)
Quindi, Eve è una CA affidabile per il computer di Alice. Tranne che non è in realtà Eve che è il CA, è l'appliance Cyberoam di Eve. E il problema è che le appliance Cyberoam sono tutte con lo stesso certificato di default su di esse, quindi Alice non si fida solo di Cyberoam di Eve, si fida di tutti Cyberoam.
Ciò significa che un attaccante, chiamalo Mallory, può acquistare un Cyberoam, smantellarlo e usarlo come generatore di certificati fasulli per creare certifici di cui si fiderà Alice. Fondamentalmente, il lavoro di Eve ha fatto sì che lei facesse un attacco MITM su Alice e le comunicazioni di Bob possono anche essere usate da Mallory per fare un attacco MITM su di loro.
Per risolvere il problema, Eve deve utilizzare un certificato univoco sulla sua particolare appliance Cyberoam e non quella predefinita con cui è stato spedito.
Eve avrebbe dovuto farlo davvero quando ha comprato l'apparecchio. Certo, smantellare un Cyberoam è difficile, e anche con la capacità di forgiare certs di fiducia, un attacco MITM è difficile, quindi non è un grosso rischio a meno che Eve si aspetti un attacco determinato e mirato.
Tuttavia, la generazione di un certificato unico è un lavoro di 30 secondi e lei avrebbe dovuto farlo. Ci vorrà ancora un po 'di tempo per farlo, visto che deve sostituire la CA nella lista di Alice.
Infine, per essere onesti con Cyberoam, non sono solo loro a spedire con un certificato di default sulle loro scatole. Questa è la stessa colpa di Eva. Come regola generale, se stai utilizzando l'ispezione SSL, stai deliberatamente indebolendo la sicurezza della tua rete e devi fare molta attenzione a farlo.