如何阻止特定的 HTTPS 流量？

Question

根据HTTPS 描述：

超文本传输​​协议安全 (HTTPS) 是超文本传输​​协议 (HTTP) 与 SSL/TLS 协议的组合。它提供网络 Web 服务器的加密通信和安全识别。

和SSL/TLS：

TLS 协议允许客户端-服务器应用程序以一种旨在防止窃听和篡改的方式通过网络进行通信。

由于大多数协议可以在有或没有 TLS（或 SSL）的情况下使用，因此有必要向服务器表明客户端是否正在建立 TLS 连接。有两种主要方法可以实现这一点，一种选择是对 TLS 连接使用不同的端口号（例如，对于 HTTPS 使用端口 443）。另一种是使用常规端口号并让客户端请求服务器使用特定于协议的机制（例如邮件和新闻协议的 STARTTLS）将连接切换到 TLS。

从这个解释我们可以理解 HTTPS 流量使用 443 TCP 端口加密，我的意思是，代理不可能解释流量并阻止不需要的站点，因为它是加密的。

在我的公司，人们通常使用 https:// 访问 facebook、hotmail 和其他被公司代理阻止的网站。所以，我想知道，是否可以使用代理或其他技术并与实际代理解决方案集成来阻止特定站点的 https 流量？是否可以通过 https 层过滤或阻止特定站点？

Answer 1

尽管您在问题中引用的示例使用代理来实现是微不足道的，因为 URL 未加密，因此很容易添加到黑名单中，但可以检查通过代理的 HTTPS 流量。

企业部署通常通过将内部受信任的证书部署到其整个已安装的最终用户计算机来实现这一点。到代理服务器的连接是通过此证书（无论用户是否意识到）完成的，代理软件可以在其中解密有效负载、检查它并确定其有效性。与终端站点的向前连接是使用“真实”证书完成的。

这确实有点令人难过，因为它打破了 SSL 和 TLS 的可信模型——但我知道它已经完成了——因为它发生在我工作的地方。