Installieren Sie das Zertifikat nicht auf einer Geräte- / Betriebssysteminstallation, die Sie jemals für private Aktivitäten verwenden möchten. Sobald Sie dies tun, ist Ihr Datenverkehr MITM-Angriffen ausgesetzt, auch wenn Sie das Netzwerk Ihres Colleges nicht verwenden . Für einen solchen Angriff muss der private Schlüssel für das von Ihnen installierte Zertifikat vorhanden sein. In der Praxis ist dies jedoch recht einfach, da diese "Sicherheitsprodukte" so schlecht konzipiert sind und häufig entweder eine sehr schwache Schlüsselgenerierung oder einen festen privaten Schlüssel verwenden, für den derselbe gilt alle Bereitstellungen und für jeden ihrer Kunden verfügbar. In einem Kommentar, der inzwischen in den Chat verschoben wurde, schrieb TOOGAM:

Spezifisches Problem, das über das Zertifikat dieses bestimmten Anbieters bekannt ist "Es ist daher möglich, Datenverkehr von jedem Opfer von abzufangen ein Cyberoam-Gerät mit einem anderen Cyberoam-Gerät - oder um den Schlüssel aus dem Gerät zu extrahieren und in andere DPI-Geräte zu importieren "

Wenn Sie keine Ressourcen in ihrem Netzwerk benötigen, verwenden Sie einfach WLAN Tethering auf Ihrem Telefon oder besorgen Sie sich einen dedizierten 3G-USB-Dongle oder ähnliches für den Einsatz auf dem Campus. Wenn der Nicht-HTTP-Verkehr nicht dem MITM unterliegt, können Sie möglicherweise ein VPN verwenden, ohne das Zertifikat zu installieren. In diesem Fall erhalten Sie einfach einen günstigen VPN-Anbieter oder ein VPN für Ihr Heimnetzwerk, falls vorhanden.

Wenn Sie Zugriff auf Ressourcen benötigen, die nur über das Campus-Netzwerk verfügbar sind, installieren Sie ein anderes Betriebssystem in einem virtuellen Netzwerk Computer, auf dem die MITM-Zertifizierungsstelle nur in der VM installiert ist, und verwenden Sie den Browser in der VM, um auf diese Ressourcen zuzugreifen.

Ein VPN ist sicherlich eine gute Lösung, vorausgesetzt, sie blockieren dies auch nicht.

Die beste Lösung zum Schutz Ihrer Privatsphäre besteht jedoch wahrscheinlich darin, Ihr Bestes zu geben, um diese Richtlinie aufzuheben. Dies ist eine absolut abscheuliche Sicherheitsrichtlinie. Es ist buchstäblich ein eingebauter Man-in-the-Middle-Angriff gegen alle auf dem Campus. Wenn die Firewall kompromittiert wird, kann der Angreifer alles abfangen, was jemand auf dem Campus über das Internet gesendet hat, einschließlich Passwörtern, Kreditkartennummern usw.

Es stellt sich heraus, dass diese Geräte noch schlechter sind, als sie zuerst geklungen haben . Wie TOOGAM in einem Kommentar betonte, stellten die Mitarbeiter des Tor-Projekts fest, dass zumindest ab 2012 alle diese Geräte dasselbe CA-Zertifikat verwendeten! Dies bedeutet, dass Jeder , der Zugriff auf eines dieser Deep Packet Inspection-Geräte von Cyberoam oder ein von einem dieser Geräte exportiertes CA-Zertifikat hat, kann Datenverkehr von jedem abfangen, auf dem dieses Stammzertifizierungsstellenzertifikat installiert ist. Selbst wenn dies in den letzten 3 Jahren behoben wurde, wirft dies extreme Zweifel an der Kompetenz der Hersteller dieses Geräts auf, es zu sichern. Dies ist umso mehr der Grund, warum Sie dieses Zertifikat definitiv nicht installieren sollten und so viel Unterstützung für das Entfernen dieses Geräts von Ihrem Campus wie möglich in Anspruch nehmen sollten.

Darüber hinaus, wie bereits erwähnt Kommentare, die inzwischen bereinigt wurden. Die Verwendung dieses Geräts verstößt gegen die Nutzungsbedingungen fast aller Websites auf dem Planeten, da Ihre Anmeldeinformationen an Dritte (das College) weitergegeben werden. Dies bedeutet, dass Sie diese Richtlinien und nicht legal einhalten können die ToS von fast jeder Website.

Wenn dies ein öffentliches College in den USA wäre und dieses Gerät nicht sofort entfernt würde, würde ich für eine Sicherheitslücke dieser Größenordnung dringend in Betracht ziehen, meine lokale FBI Cyber ​​Task Force zu kontaktieren, wer sollte sei bereit, dem College ein sehr strenges Gespräch zu geben. Sie nehmen solche Dinge sehr ernst und aus gutem Grund.

Ihr College bietet unter bestimmten Bedingungen den Dienst "Netzwerkverbindung" an. Eine davon ist die Möglichkeit für die Systemadministratoren des Colleges, den gesamten Datenverkehr zu überprüfen. Während es verlockend ist, die Neugier solcher Systemadministratoren mit einem technischen Gimmick (z. B. einem VPN, wie in einer anderen Antwort vorgeschlagen) zu besiegen, wäre dies ein expliziter Versuch, die "Sicherheitssysteme" des College-Netzwerks zu besiegen, und dies kann Sie landen in einem riesigen Haufen Ärger. Die klügste Vorgehensweise wäre dann, dies nicht zu tun und stattdessen Ihr eigenes Internet zu verwenden (z. B. über Ihr persönliches Telefon).

Verwenden Sie ihr Netzwerk nicht für persönliche Zwecke. Dies ist der beste Weg, um Ihre Privatsphäre vor ihnen zu schützen.

Wenn Sie keine Wahl haben, verwenden Sie eine virtuelle Maschine und installieren Sie das Zertifikat auf der virtuellen Maschine anstelle Ihrer Hauptmaschine. Möglicherweise können Sie Ihre Privatsphäre schützen.

Ich persönlich habe für diese Art von Problemen immer einen separaten Computer verwendet. Auf keinen Fall würde ich einem Unternehmen / einer Bildungseinrichtung erlauben, irgendetwas auf meiner eigenen Ausrüstung zu installieren, es sei denn, ich hätte vor, es später aus dem Orbit zu entfernen .

Wenn ssh nicht herausgefiltert wird, können Sie mit ssh einen SOCKS-Proxy erstellen, der über einen ssh -Tunnel ausgeführt wird. Sie müssen keine Software installieren, damit dies funktioniert. Sie benötigen keine VPN-Software. Folgendes funktioniert auf einem Linux-Computer oder einem Mac (und kann möglicherweise unter Windows ausgeführt werden):

• Holen Sie sich ein Shell-Konto (oder eine VM, aber das ist übertrieben) irgendwo

• Überprüfen Sie, ob Sie sich mit ssh von außerhalb Ihrer Institution anmelden können, und akzeptieren Sie den Host-Schlüssel (außerhalb der Institution, um dies sicherzustellen Sie sind nicht MTiM'ing ssh - unwahrscheinlich)

• In einem Terminal ssh -D 8080 -N Benutzername@host.name. hier (beachten Sie, dass dies zu hängen scheint)

• Verwenden Sie jetzt 127.0.0.1:8080 als SOCKS-Proxy

Sobald dies funktioniert, können Sie (optional) autossh anstelle von ssh verwenden, um den Tunnel aufrechtzuerhalten - wahrscheinlich auch müssen das installieren.

Nicht getestete Windows-Anweisungen (PuTTY muss heruntergeladen werden) hier.

Der Grund, warum dies funktioniert, ist, dass Ihr HTTPS-Verkehr nicht mehr fließt über Port 443. Es fließt (neu verschlüsselt) über Port 22. Unter der Annahme, dass sie nicht inter sind Akzeptieren des ssh -Protokolls. Und wenn ja, können Sie sagen. Ihr Datenverkehr sieht aus wie ssh -Verkehr (da es sich um ssh -Verkehr handelt) - obwohl eine detaillierte Verkehrsanalyse möglicherweise darauf hindeutet, dass es sich bei ssh-Datenverkehr um Proxy-Webanforderungen handelt. Es ist daher nicht sofort als VPN-Verkehr erkennbar. Darüber hinaus blockiert Ihr College wahrscheinlich nicht den ssh -Verkehr, wie er von CS-Studenten verwendet wird.

Eine alternative Route wäre, sich an Ihr Mobiltelefon zu binden und einen Datentarif zu verwenden .

Lesen Sie die T&Cs.

Überprüfen Sie, ob Sie ein VPN verwenden dürfen (einige Protokolle sind möglicherweise verboten, VPNs möglicherweise auch).

Wenn ja, verwenden Sie a VPN, und stellen Sie niemals eine direkte Verbindung zu einer Site über deren Netzwerk her. (Es sei denn, Sie verwenden das Anheften von Zertifikaten, aber dann schlägt die Verbindung wahrscheinlich fehl, da das Zertifikat nicht übereinstimmt.) Präzise Routing-Tabellen können Ihnen dabei helfen. Möglicherweise müssen Sie das Zertifikat nicht einmal installieren (möglicherweise müssen Sie es installieren, um sich bei einer Verbindung mit dem Netzwerk bei etwas anzumelden).

Wenn ja nicht erlaubt, na ja ...

• Installieren Sie das Zertifikat nicht auf einem Computer, den Sie für persönliche Zwecke verwenden. Verwenden Sie einen anderen Computer oder eine VM. Machen Sie niemals etwas Persönliches auf diesem Computer / dieser VM.
• Sprechen Sie mit Kommilitonen darüber. Machen Sie Sie auf dieses Problem aufmerksam.
• Bringen Sie die Angelegenheit zu der zuständigen Behörde. Fragen Sie unter http://law.stackexchange.com nach, ob Sie dagegen protestieren können.

Tun Sie nichts gegen die T&Cs. Dies ist der beste Weg, um einfach aus dem Netzwerk verbannt zu werden, oder noch schlimmer.

Verwenden Sie das Netzwerk nicht.

Das ist so ziemlich Ihre einzige Option. Jeder Versuch, ihre "Sicherheits" -Maßnahmen zu umgehen, wird höchstwahrscheinlich als "unbefugter Zugriff" im Rahmen der CFAA (unter der Annahme der US-Gerichtsbarkeit) angesehen und könnte zu vielen, vielen Jahren Gefängnis führen.

Sie könnten versuchen, sie zu übernehmen Gericht, aber Ihre Chancen sind ziemlich gering. Öffentliche und private Einrichtungen führen diese Art der Netzwerküberwachung und -überwachung seit vielen Jahren durch, ohne gegen das Gesetz zu verstoßen.

zwingt uns, das Cyberoam Firewall SSL-Zertifikat zu installieren, damit sie den gesamten verschlüsselten Datenverkehr anzeigen können, um "unsere Sicherheit zu verbessern".

Malware wird also auch über HTTPS gesendet Es ist wahrscheinlich wirklich ihre Absicht, die Sicherheit durch Analyse des verschlüsselten Datenverkehrs auf Malware zu verbessern. Wenn sie nur den Zugriff auf einige Websites blockieren möchten, können sie dies wahrscheinlich ohne SSL-Abfangen tun.

SSL-Abfangen ist in Unternehmen aus genau demselben Grund sehr verbreitet, dh um das Unternehmen vor Malware zu schützen. P. >

Wird die Verwendung eines VPN ausreichen, um meinen gesamten Datenverkehr zu verbergen, oder gibt es andere Möglichkeiten?

Dies hängt von der Netzwerkkonfiguration ab. Wenn sie klug genug sind, blockieren sie die Verwendung von VPN usw. Und ich würde mir vorstellen, dass sie die Umgehung der Firewall mit solchen Technologien ausdrücklich verbieten, da dies bedeutet, den Schutz zu umgehen und das Netzwerk weniger sicher zu machen. Erwarten Sie daher, dass Sie die Netzwerkverbindung verlieren, wenn Sie ein VPN verwenden.

Wenn ich das Zertifikat nicht installiere, kann ich das Netzwerk nicht verwenden.

Wenn Sie Eigentümer des Netzwerks sind, gibt es genügend Möglichkeiten, den Computer anzugreifen oder in die Privatsphäre der Benutzer einzudringen, auch ohne SSL-Interception. Wenn Sie ihnen nicht vertrauen, verwenden Sie ihr Netzwerk nicht, unabhängig davon, ob sie SSL-Interception verwenden oder nicht.

Wie können sie überprüfen, ob Sie ihr SSL-Zertifikat installiert haben oder nicht? Führen sie auch Software auf Ihrem lokalen Computer aus? Andernfalls würde ich denken, dass die nachteiligen Auswirkungen nur darin bestehen, dass Sie sich mit vielen Zertifikatfehlern auf Ihrer Seite auseinandersetzen müssen.

Was ich tun würde, wenn ich Sie wäre, ist entweder Dual-Boot oder Virtualisierung. Haben Sie Ihr unsicheres Betriebssystem, in dem Sie alle "Sicherheitstools" und Zertifikate installieren und (und verwenden Sie nichts, was niemand sehen soll), und gehen Sie dann zurück, wenn Sie Datenschutz wünschen zu Ihrem sicheren Betriebssystem. Wenn Sie auf dem Campus leben und so gut wie immer das Netzwerk verwenden, muss Ihr sicheres Betriebssystem standardmäßig ein VPN verwenden, das die Anforderungen umgehen sollte. Es gibt Möglichkeiten, wie sie das bemerken können, aber Sie können ihnen immer sagen, dass Sie einen Job oder etwas haben und es für die Arbeit brauchen, und sie könnten Ihnen glauben und Sie in Ruhe lassen.

Alternativ würde ich sagen, holen Sie sich einen zellularer Hotspot. Aber ich weiß, dass ich mir im College nicht die Art von Datenplan leisten konnte, die ich brauchen würde.

Vorgeschlagene Lösung: Verwenden Sie eine virtuelle Maschine mit installiertem Zertifikat, wenn Sie deren Netzwerk verwenden möchten. Auf diese Weise wird Ihnen sehr klar, wann Sie ihr Netzwerk verwenden und wann nicht. Sie können die VM auch verwerfen, wenn Sie ihr Netzwerk nicht mehr verwenden müssen.

Umgehen Sie die Firewall nicht. Einige andere Antworten haben bereits die technischen Optionen behandelt, dies ist jedoch nicht ratsam. Alle Filterprodukte, die ich gesehen habe, blockieren entweder die Umgehung oder lassen sie zu, benachrichtigen jedoch eine Administrator, der Sie in Schwierigkeiten bringt. Es mag wie ein kluger Hack erscheinen, etwas zu tun, was Sie nicht tun dürfen, aber die Behörden werden auf Sie stampfen - entweder indem sie Sie aus dem Netzwerk verbannen, was Ihr Studium erschwert, oder Sie vom College ausschließen. In jedem Fall ist die potenzielle Auswirkung auf Ihr langfristiges Leben nicht den kurzfristigen Gewinn einer ungefilterten Internetverbindung am College wert.

Die einzige echte technische Option besteht darin, Ihre eigene Internetverbindung über ein 3G zu verwenden mobile oder ähnliche Technologie. Sie können einen lokalen Proxy installieren und Ihre HTTPS-Verbindungen über die 3G-Verbindung und alles andere über das College-Netzwerk weiterleiten.

Das Abfangen von SSL durch Internetfilter in Bildungseinrichtungen ist eine weit verbreitete Praxis. Wenn Sie dagegen Stellung nehmen möchten, prüfen Sie Ihre rechtlichen Möglichkeiten. In vielen Ländern verstößt das Abfangen privater Kommunikationen ohne Zustimmung beider Parteien gegen das Abhörgesetz. Selbst wenn das Argument besagt, dass Sie dem Abfangen durch die Installation des SSL-Zertifikats absichtlich zugestimmt haben, ist dies auf der Remote-Website sicherlich nicht der Fall. Soweit ich weiß, hat noch kein Student das Abfangen von SSL auf dieser Grundlage in Frage gestellt, aber jemand muss der Erste sein. Ich wurde einmal von leitenden Angestellten einer Filterfirma darüber informiert, dass das Abfangen von SSL nicht illegal ist, sondern dass ihr Kunde gegen das Gesetz verstößt. Sie müssen es als Option anbieten, sonst verlieren sie Umsatz.

Die Sicherheit dieser Internetfilter / Firewalls ist oft erschreckend schlecht:

• Einige verwenden für alle Kunden dasselbe SSL-Zertifikat. Trivial mit Administrator- oder physischem Zugriff zu extrahieren. Wenn eine Firewall gefährdet ist, ist jede Firewall gefährdet.

• Verwendung alter Software mit bekannten Sicherheitslücken. Ich kenne einen kommerziellen Anbieter mit einer aktuellen Produktlinie, die auf 2004 veröffentlichter Software basiert. Wenn Sie Benutzerzugriff erhalten können, ist der Root-Zugriff trivial.

• Unsicherer Remotezugriff. Support-Teams verwenden normalerweise für alle Kunden dasselbe Installations- und Remote-Wartungskennwort. Ein Angreifer, der dieses Kennwort kennt, kann remote auf jedes Kundensystem zugreifen.

• Es gibt eine "weiße Liste" von Sites, auf denen kein SSL-Abfangen durchgeführt werden soll (z. B. Major) Banken). Wenn Sie jedoch Zugriff auf das System haben, ist es trivial, die Software so zu ändern, dass die weiße Liste ignoriert oder gelöscht wird.

• Ich kenne mindestens einen Fall, in dem ein externer Angreifer verwaltet hat um Zugriff auf den Entwicklungsserver zu erhalten, der den Quellcode für ein wichtiges Firewall-Produkt enthält. Der leitende Entwickler sagte mir: "Wir haben keine Ahnung, wie weit sie im internen Netzwerk gekommen sind oder was sie getan haben, als sie in waren."

Die Nachricht zum Mitnehmen lautet, dass diese Geräte für einen bestimmten Hacker sehr anfällig sind. Sobald der Zugriff erfolgt ist, können sie trivial jedes Kennwort jeder SSL-Verbindung von Hunderttausenden von Benutzern abfangen. Ich bin überrascht, dass wir noch nichts über diese Art von Angriff gehört haben, aber vielleicht schon, und die Hacker sind zu beschäftigt, Bankkonten zu leeren, um damit zu prahlen. Das öffentliche Wissen über einen solchen Angriff wäre für jeden Firewall- / Filteranbieter äußerst schädlich und würde alles tun, um ihn zu vertuschen.

Update Dezember 2015 : Hintertüren in der Juniper-Firewall gefunden, seit 2012 vorhanden.

Sie können ihr Zertifikat verwenden und darüber hinaus ein VPN verwenden.

Sie können eine benutzerdefinierte Routing-Tabelle erstellen, in der alles außer dem internen Netzwerkverkehr über das VPN weitergeleitet wird. Auf diese Weise können sie nur die Verbindungen zwischen Ihnen und den Systemen im College-Netzwerk entschlüsseln. Alles andere wird über Ihre VPN-Verbindung geleitet und ist sicher.

Wenn Sie jedoch ein VPN verwenden, wird der gesamte Datenverkehr auf einen einzelnen Server (Ihren VPN-Anbieter) geleitet und sieht mit Sicherheit sehr verdächtig aus die Protokolle. Wenn Ihr College keine VPN-Verbindungen zulässt, verwenden Sie am besten keine oder nur für bestimmte Aufgaben (z. B. E-Mail-Prüfung). Die Verwendung von FoxyProxy unter Firefox kann Ihnen dabei helfen.

Ich glaube , dass Sie ein Chrome OS-Gerät mit einem dedizierten "Schul" Google-Konto, das Sie ausschließlich für den Zugriff auf das Schulnetzwerk verwenden, sicher verwenden können. Wenn Sie zu einem anderen Konto (z. B. Ihrem persönlichen Konto) wechseln, werden das Schulzertifikat oder die Einstellungen dieses Benutzers nicht mehr verwendet, und Chrome OS dient zum sicheren Isolieren von Konten.

Dieser Hilfeartikel (geschrieben für Domain-Administratoren, nicht für Benutzer) erwähnt, dass dies möglich ist, und stellt außerdem fest, dass dies nur gilt, wenn der Domain-Benutzer angemeldet ist.

Ich habe nach einer Möglichkeit gesucht, Tor über HTTP (ohne den Proxy-Befehl CONNECT ) zu verwenden, als ich Ihre Frage zum ersten Mal las, aber ältere Antworten sagten, dass dies derzeit unmöglich ist (ich habe nur einen Vorschlag aus dem Jahr 2013 gefunden das kam nie irgendwo hin). Jetzt bin ich nur darauf gestoßen, nicht sicher, ob es das ist, was Sie brauchen, aber es sieht total so aus:

https://trac.torproject.org/projects/tor/wiki/doc/meek

meek ist ein steckbarer Transport, der HTTP zum Übertragen von Bytes und TLS zur Verschleierung verwendet.