如果使用 HTTPS，我是否可以免受网络监控软件的影响？

Question

我将在工作时登录我的银行账户和我的个人电子邮件账户。它没有在工作中被禁止，但我只是不希望他们保存/记录我使用这些服务所做的任何事情的副本。尤其是我的密码。

如果该服务使用 HTTPS 连接，我的公司是否能够跟踪/保存/记录我用于这些服务的密码？页面的内容呢？

同样，我公司的规定并不禁止使用我的个人电子邮件帐户或网上银行服务，但我只是不想让他们知道有关这些的任何重要信息。如果他们知道我在使用这些也没关系，但他们不应该访问我的密码。

如果使用 HTTPS，我是否可以安全地使用它们（知道我的公司无法保存任何这些数据）？

PS我真的不是一个网络人，我不太了解这些东西是如何工作的。所以请不要给任何 RTFM 回复。

Answer 1

回答之前：如果浏览器警告您某个站点使用了糟糕的加密或提供了不正确的身份信息，那么阅读错误、理解错误并仔细考虑是否要继续是很重要的。

简短回答：是的，如果您使用的是受信任的设备

长答案：

如果有人正在从另一台计算机（在您和您的银行之间的某处）监视您的连接，并且您正在使用 HTTPS，并且他们正在使用具有适当强算法的签名证书，那么您就清楚了。（除非他们将数据保存多年，然后在算法被破坏后阅读它 - 但他们可能最好闯入你的房子偷你的东西;））。

很有可能，如果是您的银行，那么他们正在使用具有适当强密码的签名证书。您可以通过查看页面的 SSL 信息来验证这一点，如果您查看页面信息，使用 Firefox 3.5 在地址栏中单击左侧的蓝色或绿色名称，或单击锁在 IE8 中地址栏中的右侧。如果您在单击彩色区域后选择更多信息，Firefox 还将显示使用的加密算法。

如果您不信任您用来连接的设备（例如可能已被他人修改的非您自己的计算机），则更值得关注。现在，您的工作场所可能不会做任何违法的事情，例如查看您的银行信息；但如果您的系统受到威胁，SSL可能会受到破坏。可能是您的计算机被配置为接受代理签署的证书（检查证书或证书锁定会阻止这一点）。然而，监视可以在任何地方——例如，键盘记录器甚至不需要破解 SSL 来捕获您的银行凭证。SSL 使您无需信任两个受信任端点之间的连接，但如果端点本身不受信任，则所有赌注都将关闭。

Answer 2

不，不一定。您的公司可能会通过充当中间人的代理发送您的连接。即：所有 HTTPS 流量从您的机器传输到代理，在那里解密、分析、加密并发送到服务器。您的机器不会使用来自服务器的安全证书，而是代理将为给定的网站生成一个并将其发送给您，因此您确实有两个 HTTPS 连接：从您到代理和从代理到服务器。

为了实现这一点，公司需要有一个证书服务器来生成证书。通常浏览器会在这里提出异议并抱怨证书颁发机构不受信任，但当然可以通过组策略等覆盖。

但这不一定是雇主犯规，因为这可能是防病毒概念的一部分或由于法律原因。

在浏览器中，查看证书。特别是，查看证书颁发机构。如果证书是由像 Thawte、VeriSign 等“真实”CA 颁发的，那么这意味着您正在使用服务器上的证书，您应该是安全的。但是，如果它是由“YourCompany-AV”之类的东西发布的，那么您就有了一个中间人代理。