ssl/https verkeer inspectie door firewall - gebruiker

[thunder7]

Ik heb net gelezen dat op een plek waar ik regelmatig een ssh verbinding gebruik tussen mij en de buitenwereld het verkeer tussen mij en de buitenwereld door een Palo Alto next generation firewall heen geleid gaat worden, die ook https/ssl verkeer kan ontsleutelen en (dus) virussen en bedreigingen daarin kan tegenhouden.

Als ik de gegevens op internet correct interpreteer, dan lukt dat omdat die firewall zijn eigen certificaten naar mij stuurt en zelf connecties maakt naar de buitenwereld, een klassiek geval van man-in-the-middle dus.

Twee vragen schieten bij mij op:

1) kan ik dit, zodra het aan staat, zien aan een melding 'REMOTE HOST IDENTIFICATION CHANGED' van ssh?

2) als het aan gaat, wat kan ik doen om mijn verkeer zodanig te versleutelen dat het niet door de firewall ontsleuteld kan worden? Ik heb controle over de linux-systemen aan beide kanten.

[Bazvv]

Volgens mij is het geen SSL/HTTPS inspectie maar een SSH proxy.
Met SSL/HTTPS inspectie kan je volgens mij geen SSH verkeer zien, maar dat kan ik ook mis hebben.
Mede omdat SSL altijd met certificaten werkt en SSH niet.
https://www.paloaltonetwo...ption/configure-ssh-proxy

Ik denk niet dat je iets kan doen om hier omheen te komen, zou security technisch ook niet moeten kunnen.

[JackBol]

thunder7 schreef op donderdag 22 september 2016 @ 18:00:
2) als het aan gaat, wat kan ik doen om mijn verkeer zodanig te versleutelen dat het niet door de firewall ontsleuteld kan worden? Ik heb controle over de linux-systemen aan beide kanten.

Als je zelf de keys aan beide kanten hebt gegenereerd en nooit aan iemand hebt afgegeven kan die firewall je ssh sessie niet decrypten. Het enige waar je op moet letten is dat de ssh host key daadwerkelijk de key is van de remote server.

Edit: als je niet wilt dat de firewall je ssh sessie onderschept kan je een ssh daemon op een andere poort draaien of misschien tunnelen in een ander protocol. Ik verwacht niet dat de Palo Alto geavanceerd genoeg is om de ssh te onderscheppen als het payload is.

[ Voor 19% gewijzigd door JackBol op 22-09-2016 18:22 ]

[thunder7]

Mooi. Dan maak ik me om niets ongerust!