Sono protetto dal software di monitoraggio della rete se si utilizza HTTPS?

Accederò al mio conto bancario e ai miei account e-mail personali al lavoro. Non è vietato al lavoro, ma non voglio che salvino / registrino una copia di tutto ciò che faccio con questi servizi. Soprattutto le mie password.

Se il servizio utilizza una connessione HTTPS, la mia azienda sarà in grado di tracciare / salvare / registrare le mie password, che utilizzo per questi servizi? che dire dei contenuti delle pagine?

Ancora una volta, le regole della mia azienda non vietano l'utilizzo del mio account di posta elettronica personale o dei servizi di internet banking, ma non voglio che sappiano che sono presenti informazioni importanti al riguardo. Va bene se sapessero che li sto usando, ma non dovrebbero avere accesso alle mie password.

Posso usarli in sicurezza (sapendo che la mia azienda non può salvare nessuno di quei dati) se si utilizza HTTPS?

PS Non sono davvero un ragazzo di rete e non so molto su come funzionano queste cose. Quindi, per favore, non dare alcuna risposta RTFM.

Prima di rispondere: se un browser ti avverte che un sito utilizza una crittografia scadente o fornisce informazioni di identità errate, è importante leggere l'errore, comprenderlo e riflettere attentamente se si desidera continuare.

Risposta breve: Sì, se si utilizza un dispositivo attendibile

Risposta lunga:

Se qualcuno sta monitorando la tua connessione da un altro computer (da qualche parte tra te e la tua banca) e stai usando HTTPS, e stanno usando certificati firmati con un algoritmo sufficientemente forte, allora sei in chiaro. (A meno che non salvino i dati per anni e poi li leggano dopo che l'algoritmo è stato rotto, ma probabilmente sarebbe meglio irrompere in casa e rubare le tue cose;)).

Se è la tua banca, è probabile che stiano usando certificati firmati con una cifra sufficientemente forte. Puoi verificarlo guardando le informazioni SSL per la pagina, che dovrebbero essere visualizzate se guardi le informazioni della pagina, fai clic sul nome Blu o Verde a sinistra nella barra degli indirizzi con Firefox 3.5 o fai clic sul lucchetto per il diritto nella barra degli indirizzi in IE8. Firefox visualizzerà anche l'algoritmo di crittografia utilizzato se si selezionano Ulteriori informazioni dopo aver fatto clic sull'area colorata.

Se non ti fidi del dispositivo che stai utilizzando per connetterti (come un computer che non è il tuo che potrebbe essere stato modificato da altri), allora è di grande preoccupazione. Ora, il tuo posto di lavoro probabilmente non farà nulla di illegale come guardare le tue informazioni bancarie; ma è possibile che SSL venga compromesso se il sistema è compromesso. È possibile che il computer sia configurato per accettare i certificati firmati da un proxy (l'ispezione del certificato o il blocco del certificato impedirebbe questo). Tuttavia, la sorveglianza potrebbe essere ovunque: un keylogger non avrebbe nemmeno bisogno di sconfiggere SSL per acquisire le credenziali bancarie, ad esempio. SSL lo rende quindi non è necessario fidarsi della connessione tra due endpoint affidabili, ma se l'endpoint stesso non è attendibile, tutte le scommesse sono disattivate.

No, non necessariamente. La tua azienda può inviare la tua connessione tramite un proxy che funge da man-in-the-middle. Cioè: tutto il traffico HTTPS va dal tuo computer al proxy, viene decodificato lì, analizzato, crittografato e inviato al server. La tua macchina non utilizzerà il certificato di sicurezza dal server, ma invece il proxy ne genererà uno per il sito Web specificato e te lo invierà, quindi hai davvero due connessioni HTTPS: da te al proxy e dal proxy al server.

Per far sì che ciò accada, la società deve disporre di un server di certificazione per generare un certificato. Normalmente il browser si oppone qui e si lamenta che l'autorità di certificazione non è attendibile, ma ovviamente può essere sovrascritta attraverso criteri di gruppo e simili.

Questo non è necessariamente un gioco ingannevole da parte del datore di lavoro, poiché può far parte di un concetto antivirus o per motivi legali.

Nel tuo browser, guarda il certificato. In particolare, guarda l'autorità di certificazione. Se il certificato viene emesso da una CA "reale" come Thawte, VeriSign ecc., Ciò significherebbe che stai utilizzando quello dal server e dovresti essere al sicuro. Tuttavia, se viene emesso da qualcosa come "YourCompany-AV" o simili, hai un proxy man-in-the-middle.

In generale, sei al sicuro, poiché quando visiti il ​​sito Web della banca tramite la connessione https, tutti i dati come nome utente e password sono crittografati, è difficile decrittografarlo in un tempo molto breve, a meno che non conoscano molto bene l'algoritmo di crittografia . Tuttavia, ci sono altri attacchi come key logger, man in the middle funzionerà se sono ben informati. Presta sempre attenzione all'ambiente prima di inserire le informazioni sensibili.

Se stai utilizzando una macchina di proprietà dell'azienda e hai accettato le politiche aziendali, potrebbero esserci problemi specifici della tua azienda. Senza conoscere ulteriori dettagli direi che dovresti essere sicuro, ma devo bilanciarlo con un avvertimento. Tecnicamente è possibile, ma se conduci una vita "normale" ci sono molte cose che affronti ogni giorno che presentano un rischio molto più probabile per i tuoi dati personali rispetto allo scenario di cui ti stai chiedendo.

Alcune cose di base di cui essere consapevoli. La società potrebbe ancora essere a conoscenza di quali siti stai visitando e per quanto tempo. I dati possono essere crittografati, ma devono comunque essere instradati in modo da esporre l'indirizzo da cui provengono i dati.

I consigli di altre risposte su come sfruttare le funzionalità di sicurezza del tuo browser sono buoni. Aggiungerò che dovresti prenderti un momento per rivedere le politiche della tua azienda relative ai dati personali su macchine da lavoro.

Le banche utilizzano generalmente una crittografia a 128 bit o superiore. Controlla le proprietà del loro certificato SSL o chiedi a uno dei loro supporto tecnico di scoprire di cosa si tratta. Se è inferiore a 128, suggerirei di non usarlo. Ma se è 128 o più, dovresti andare bene. A meno che qualcuno sulla rete con Ettercap, Wireshark, Shijack e un enorme chip sulla spalla abbia qualcosa contro di te. Se sei così preoccupato, tuttavia, semplicemente non utilizzare il net banking al lavoro. Inoltre, cosa impedisce a qualcuno di rompere il computer a casa per ottenere le informazioni bancarie? Probabilmente sei più sicuro al lavoro. I miei manager riuscivano a malapena a controllare la cronologia del mio browser: mi piacerebbe vederli violare una crittografia SHA1-RSA fornita da un certificato SSL.

In effetti, sei al sicuro semplicemente perché generalmente gli amministratori di rete hanno cose migliori da fare. Tecnicamente no, i tuoi dati non sono al sicuro. Non hai detto in quale campo ti trovassi, ma ad esempio il lavoro del call center avrà sistemi estremamente monitorati. La crittografia dei dati non importa se i tasti vengono registrati e lo schermo acquisito come parte del normale funzionamento. Se temi che gli amministratori possano essere inclini a consultare le informazioni del tuo conto bancario, NON utilizzare il computer di lavoro per le attività bancarie.

Le aziende utilizzano spesso proxy e firewall per l'analisi della rete, ma si può essere certi che il traffico https non può essere intercettato da nessuno di essi. Questo è il principio base di https, per prevenire un attacco man-in-the-middle.

È possibile salvare i pacchetti e interrompere la crittografia rsa in un secondo momento, sebbene poiché Internet sia basato sulla commutazione dei pacchetti, è improbabile che qualsiasi utente malintenzionato disponga di sostanza sufficiente per ricostituire i pacchetti TCP.

Tutto e tutto è possibile.