内容感知防火墙和加密内容

Question

有防火墙可以分析通过的流量并在不需要时阻止它。这些防火墙对加密流量（例如 HTTPS 或 IMAP over SSL）的处理效果如何？

一个例子：防火墙能否区分端口 443 上的 HTTPS 流量和，比如说，通过 443 的安全远程桌面流量？

Answer 1

在您的具体示例中，是的，这是可能的。

HTTPS 启动与远程的 TLS 会话。

TLSv1  Client Hello

安全 RDP 启动 RDP 会话，协商会话两端之间的 TLS 安全连接。

X.224  Connection Request (0xe0)

由于会话启动协议不同，状态防火墙应该能够区分 HTTPS 连接启动和其他连接。

对于一般情况，防火墙将无法检测到 SSH-over-HTTPS 之类的东西，因为 SSH 流量隐藏在 HTTPS 流量中。它可以检测到它的唯一方法是通过对流量模式的启发式分析，但我不知道有什么方法可以做到这一点。

对于 IMAP，有两种保护它的模式。一种是通过 SSL，另一种是通过 TLS。SSL 方法看起来就像是在不同端口上的 HTTPS 连接，如果远程端口相同，则它无能为力。另一方面，TLS 在对话的两端进行协商，因此会话启动明显不同且易于检测。

要记住的关键是 SSL 创建了一个 TCP 包装器，流量通过它传递。许多协议在协议本身内部包含协商安全性的方法，该方法利用与包装器使用的技术大致相同的技术，但使用不同的会话启动方法使其可区分。

Answer 2

一些防火墙/代理产品可以对 TLS 连接进行“授权的中间人攻击”；例如，Squid 将此功能称为“ SSL Bump ”。执行此操作的代理服务器将完全访问 TLS 会话内传输的纯文本数据。但是，这种代理背后的客户端将获得不同的服务器证书（由代理本身而不是真实服务器提供），这将导致 TLS 错误或警告，除非客户端配置为期望此类证书（通过添加代理 CA 证书）到受信任的根证书列表）。