Что такое прозрачный прокси? Обнаружение и риски

Прозрачный прокси (его ещё называют перехватывающим или принудительным) стоит прямо в сетевом пути и обрабатывает ваш трафик без каких-либо настроек на вашем устройстве. Вы его не включали: оператор сети сам перенаправляет через него ваши соединения, обычно перехватывая трафик на порту 80 (и всё чаще — с перехватом TLS на 443). У названия двойной смысл: он прозрачен для устройства, потому что у вас ничего не меняется, и при этом его часто делают незаметным для вас как пользователя.

Обратите внимание на путаницу в терминах. В уровнях анонимности прокси «прозрачный» означает прокси, который передаёт ваш настоящий IP в заголовках, то есть анонимности ноль. Сетевой прозрачный (перехватывающий) прокси — вещь родственная, но другая: его определяет то, как он развёрнут (молча, прямо в канале), а не то, что он раскрывает. Впрочем, многие перехватывающие прокси действительно передают ваш IP, поэтому эти два значения часто совпадают.

Организации ставят прозрачные прокси по вполне рабочим причинам: кеширование ради экономии трафика, фильтрация контента (школы блокируют категории, компании следят за допустимым использованием), порталы аутентификации (captive portal в публичном Wi-Fi — это и есть перехватывающий прокси), мониторинг и логирование, а также DLP. Провайдеры иногда используют их для кеширования или вставки уведомлений.

Риски зависят от того, как далеко заходит перехват. Кеширующий прокси на обычном HTTP видит и может записать каждую незашифрованную страницу, которую вы запрашиваете. Прокси с перехватом TLS наглее: чтобы заглянуть в HTTPS, он расшифровывает ваш трафик, подставляя собственный сертификат (для этого на устройстве должен быть установлен его корневой сертификат — обычное дело на управляемых корпоративных и школьных машинах), то есть он читает то, что вы считаете приватным. Кроме слежки, прозрачный прокси может вставлять своё содержимое, резать скорость или ломать сайты — и сводит на нет приватность, которую вы ждёте от HTTPS.

Как защититься: VPN шифрует трафик ещё до того, как он попадает в сеть, поэтому прозрачный прокси видит лишь непрозрачный туннель, который нельзя ни закешировать, ни отфильтровать, ни прочитать, — при условии, что устройство не доверяет корневому сертификату перехвата, которым управляет оператор.

Проверяйте публичный IP и неожиданные Via или кеш-заголовки как подсказки, а не доказательство прозрачного перехвата. Сам сайт или CDN может добавлять кеш-заголовки. Незнакомый издатель HTTPS-сертификата или установленный корневой сертификат требует проверки цепочки и настроек организации, но сам по себе не доказывает злонамеренного перехвата. Исследуйте фактический путь к известному узлу, не делайте вывод по одному симптому.