![BYOD 和 Google SSL](https://linux22.com/image/799414/BYOD%20%E5%92%8C%20Google%20SSL.png)
我运营一个学校网络,并实施了 BYOD 计划。我有一个 Linux 代理 (squid),使用 Mind(dansguardian 的分支)进行内容过滤。HTTP 上一切都运行良好,问题当然是孩子们开始使用 HTTPS 时出现的。我最大的问题是 Apple 已切换到在 Safari 中进行谷歌搜索时使用 HTTPS。这样孩子们就可以进行搜索,而无需 MinD 强制安全搜索。我想知道我能做些什么。有什么办法可以阻止这种情况吗?在此先感谢任何帮助!
答案1
现在可以要求谷歌将安全搜索重定向到 http -https://support.google.com/websearch/answer/186669?hl=en是有关该主题的 Google 帮助页面。他们建议使用 DNS 技巧,这在 Windows 2008r2 中可能很难实现 - 我个人更喜欢使用连接头重写来实现相同的目标,这可以在所有好的 Web 过滤器(以及一些不好的过滤器)中完成。
我为光滑墙他们提供的过滤器不仅具备这种功能,而且还具备执行其他 SSL 过滤的能力。我有偏见,但我建议您看看。当遇到棘手的问题时,这比自己动手容易得多。为了公平起见,还有其他 Web 过滤器 :)
答案2
Squid 支持一个称为使用 Bump-Server-First 的 SslBump。这基本上意味着浏览器将尝试在它们和主机之间建立安全连接。Squid 缓存获取拦截的连接,Squid 建立外部连接。然后完成与用户的安全连接。Squid 本质上是用户/Squid 部分的证书颁发机构,因此它可以解密流量并缓存/过滤它。
由于 SSL 设计者认为这可能是一种攻击媒介,因此需要克服一些障碍。Squid 支持动态证书生成因此证书域在客户端匹配,并具有一些原始的证书信息传递到客户端。如果您的客户端设备可以信任您的 CA 证书,那么这一切都可以相当顺利地进行。如果人们使用自己的设备,那么这会有点困难。
- iOS 可以使用iPhone 配置实用程序
看起来不像机器人上可能- 最近的机器人可以添加 CA 证书
- 视窗/OSX当然可以。
- Linux 有点复杂,这取决于您使用的应用程序以及它们用作密钥存储的内容。
需要注意的是,您的缓存现在由这些设备的第三方信任控制。动态证书中模仿的信息在某种程度上可以缓解这种情况,但可以配置 squid 盲目信任可能对用户不利的东西,例如,如果有人在远离您的代理的地方进行真正的中间人攻击。
答案3
你能做的并不多。你可以为 google.com 生成一个自签名 SSL 证书,并对流量进行 MITM,然后你将能够检查它并根据需要进行阻止,但这取决于孩子们有多狡猾,以及他们是否会在接受你的自签名证书的过程中上当。
这也可能是非法的。你可以完全阻止 HTTPS 流量,但这可能会破坏各种东西。