Що таке прозорий проксі? Виявлення та ризики

Прозорий проксі (його ще звуть перехоплювальним або примусовим) стоїть просто в мережевому шляху й обробляє ваш трафік без жодних налаштувань на вашому пристрої. Ви його не вмикали: оператор мережі сам перенаправляє через нього ваші з'єднання, зазвичай перехоплюючи трафік на порту 80 (і дедалі частіше — з перехопленням TLS на 443). Назва має подвійний сенс: він прозорий для пристрою, бо у вас нічого не змінюється, і водночас його часто роблять непомітним для вас як користувача.

Зверніть увагу на плутанину в термінах. У рівнях анонімності проксі «прозорий» означає проксі, який передає ваш справжній IP у заголовках, тобто анонімності нуль. Мережевий прозорий (перехоплювальний) проксі — річ споріднена, але інша: його визначає те, як він розгорнутий (мовчки, просто в каналі), а не те, що він розкриває. Втім, багато перехоплювальних проксі таки передають ваш IP, тож ці два значення часто збігаються.

Організації ставлять прозорі проксі з цілком робочих причин: кешування заради економії трафіку, фільтрація контенту (школи блокують категорії, компанії стежать за прийнятним використанням), портали автентифікації (captive portal у публічному Wi-Fi — це і є перехоплювальний проксі), моніторинг і логування, а також DLP. Провайдери іноді використовують їх для кешування або вставки повідомлень.

Ризики залежать від того, як далеко заходить перехоплення. Кешувальний проксі на звичайному HTTP бачить і може записати кожну незашифровану сторінку, яку ви запитуєте. Проксі з перехопленням TLS нахабніший: щоб зазирнути в HTTPS, він розшифровує ваш трафік, підставляючи власний сертифікат (для цього на пристрої має бути встановлений його кореневий сертифікат — звична річ на керованих корпоративних і шкільних машинах), тобто він читає те, що ви вважаєте приватним. Крім стеження, прозорий проксі може вставляти свій вміст, різати швидкість або ламати сайти — і зводить нанівець приватність, якої ви чекаєте від HTTPS.

Як захиститися: VPN шифрує трафік ще до того, як він потрапляє в мережу, тож прозорий проксі бачить лише непрозорий тунель, який не можна ні закешувати, ні відфільтрувати, ні прочитати, — за умови, що пристрій не довіряє кореневому сертифікату перехоплення, яким керує оператор.

Перевіряйте публічний IP і неочікувані Via чи кеш-заголовки як підказки, а не доказ прозорого перехоплення. Сам сайт або CDN може додавати кеш-заголовки. Незнайомий видавець HTTPS-сертифіката чи встановлений кореневий сертифікат потребує перевірки ланцюжка й налаштувань організації, але сам собою не доводить зловмисного перехоплення. Досліджуйте фактичний шлях до відомого вузла, не робіть висновку з одного симптому.