Estou protegido do software de monitoramento de rede se o HTTPS for usado?

Question

Eu irei acessar minha conta bancária e minhas contas de e-mail pessoais no trabalho. Não é proibido no trabalho, mas eu não quero que eles salvem / registrem uma cópia do que eu fizer com esses serviços. Especialmente minhas senhas.

Se o serviço usar uma conexão HTTPS, minha empresa poderá rastrear / salvar / registrar minhas senhas usadas por esses serviços? e o conteúdo das páginas?

Novamente, as regras da minha empresa não proíbem o uso da minha conta de e-mail pessoal nem dos serviços bancários pela internet, mas eu não quero que eles saibam qualquer informação importante sobre eles. Tudo bem se eles soubessem que estou usando esses, mas eles não devem ter acesso às minhas senhas.

Posso usá-los com segurança (sabendo que minha empresa não pode salvar nenhum desses dados) se o HTTPS for usado?

P.S. Eu realmente não sou um cara da rede e não sei muito sobre como essas coisas funcionam. Então, por favor, não dê respostas RTFM.

    

Answer 1

Antes de responder: se um navegador avisar que um site está usando uma criptografia ruim ou fornecendo informações de identidade incorretas, é importante ler o erro, compreendê-lo e pensar seriamente se deseja continuar.

Resposta curta: Sim, se você estiver usando um dispositivo confiável

Longa Resposta:

Se alguém estiver monitorando sua conexão de outro computador (em algum lugar entre você e seu banco) e você estiver usando HTTPS, e eles estiverem usando certificados assinados com um algoritmo adequadamente strong, você ficará desimpedido. (A menos que eles salvem os dados por anos e depois leiam depois que o algoritmo for quebrado - mas eles provavelmente estariam melhor invadindo sua casa e roubando suas coisas;)).

As chances são, se é o seu banco, então eles estão usando certificados assinados com uma cifra adequadamente strong. Você pode verificar isso consultando as informações SSL da página, que devem ser exibidas se você observar as informações da página, clicar no nome Azul ou Verde à esquerda na barra de endereço do Firefox 3.5 ou clicar no cadeado para à direita na barra de endereços no IE8. O Firefox também exibirá o algoritmo de criptografia usado se você selecionar Mais informações depois de clicar na área colorida.

Se você não confia no dispositivo que está usando para se conectar (como um computador que não é seu e que poderia ter sido modificado por outras pessoas), isso é uma preocupação maior. Agora, seu local de trabalho provavelmente não fará nada ilegal, como as informações bancárias; mas é possível que SSL a ser prejudicado se o seu sistema estiver comprometido. Pode ser que o seu computador esteja configurado para aceitar certificados assinados por um proxy (a inspeção do certificado ou a fixação do certificado impediria isso). No entanto, a vigilância poderia estar em qualquer lugar - um keylogger nem precisaria derrotar o SSL para capturar suas credenciais bancárias, por exemplo. O SSL faz com que você não precise confiar na conexão entre dois endpoints confiáveis, mas se o endpoint em si não for confiável, todas as apostas estarão desativadas.

    

Answer 2

Não, não necessariamente. Sua empresa pode enviar sua conexão por meio de um proxy que atua como um intermediário. Ou seja: todo o tráfego HTTPS vai da sua máquina para o proxy, é descriptografado lá, analisado, criptografado e enviado para o servidor. Sua máquina não usará o certificado de segurança do servidor, mas, em vez disso, o proxy irá gerar um para o site fornecido e enviará para você, portanto, você realmente tem duas conexões HTTPS: de você para o proxy e do proxy para o servidor.

Em outros para que isso aconteça, a empresa precisa ter um servidor de certificados para gerar um certificado. Normalmente, o navegador faria objeções aqui e reclamaria que a autoridade de certificação não é confiável, mas é claro que isso pode ser substituído por políticas de grupo e afins.

No entanto, isso não é necessariamente um crime, já que isso pode fazer parte de um conceito de antivírus ou por motivos legais.

No seu navegador, olhe para o certificado. Especialmente, olhe para a autoridade de certificação. Se o certificado for emitido por uma CA "real" como Thawte, VeriSign, etc., isso significa que você está usando o servidor e você deve estar seguro. No entanto, se ele for emitido por algo como "YourCompany-AV" ou algo semelhante, você terá um proxy man-in-the-middle.

    

Answer 3

De modo geral, você está seguro. Como quando você visita o site do banco através da conexão https, todos os dados como nome de usuário e senha são criptografados, é difícil descriptografá-lo em um tempo muito curto, a menos que eles saibam a criptografia. algoritmo muito bem. No entanto, há outros ataques, como o registrador de chaves, o homem no meio funcionará se eles tiverem conhecimento. Sempre preste atenção ao ambiente antes de inserir as informações confidenciais.

    

Answer 4

Se você estiver usando uma máquina de propriedade da empresa e concordar com as políticas das empresas, poderá haver problemas específicos da sua empresa. Sem saber mais detalhes, eu diria que você deve estar seguro, mas eu tenho que equilibrar isso com uma ressalva. Tecnicamente é possível, mas se você levar uma vida "normal", há muitas coisas que você enfrenta todos os dias que apresentam um risco muito mais provável aos seus dados pessoais do que o cenário sobre o qual você está perguntando.

Algumas coisas básicas para estar ciente. A empresa ainda pode estar ciente de quais sites você está visitando e por quanto tempo. Os dados podem ser criptografados, mas ainda precisam ser roteados para que o endereço de entrada e saída dos dados seja exposto.

O conselho em outras respostas sobre o aproveitamento de quaisquer recursos de segurança do seu navegador é bom. Acrescentarei que você deve reservar um momento para analisar as políticas de suas empresas relacionadas a dados pessoais em máquinas de trabalho.

    

Answer 5

Os bancos geralmente usam uma criptografia de 128 bits ou superior. Verifique as propriedades de seu certificado SSL ou peça a um de seus suporte técnico para descobrir o que é. Se for abaixo de 128, sugiro não usá-lo. Mas se é 128 ou mais, você deve estar bem. A menos que alguém na rede com o Ettercap, o Wireshark, o Shijack e um chip gigante no ombro tenha algo contra você. Se você está preocupado com isso, no entanto, simplesmente não use o net banking no trabalho. Então, novamente, o que impede alguém de invadir seu computador em casa para obter suas informações bancárias? Você provavelmente está mais seguro no trabalho. Meus gerentes mal conseguiam verificar o histórico do meu navegador - eu gostaria de vê-los quebrar uma criptografia SHA1-RSA fornecida por um certificado SSL.

    

Answer 6

Efetivamente, você está seguro, simplesmente porque geralmente os administradores de rede têm coisas melhores a fazer. Tecnicamente, não, seus dados não são seguros. Você não disse em que área estava, mas o trabalho no call center, por exemplo, terá sistemas extremamente monitorados. A criptografia de dados não importa se os pressionamentos de tecla estão sendo registrados e a tela capturada como parte da operação normal. Se você está preocupado com o fato de os administradores estarem inclinados a ver as informações da sua conta bancária, NÃO use seu computador de trabalho para serviços bancários.

    

Answer 7

As empresas costumam usar proxies e firewalls para análise de rede, mas você pode ter certeza de que o tráfego de https não pode ser detectado por nenhum deles. Esse é o princípio básico de https, para evitar um ataque man-in-the-middle.

    

Answer 8

É possível salvar pacotes e quebrar a criptografia rsa mais tarde, mas como a Internet é baseada na comutação de pacotes, é improvável que qualquer invasor tenha substância suficiente para reconstituir os pacotes TCP.

Tudo e qualquer coisa é possível.