Newsgroup: it.comp.os.linux.sys
Titolo: Squid ed HTTPS

Ciao,
come si fa a configurare squid per filtrare siti in HTTPS?
Probabilmente nei prossimi giorni dovrò attivare un semplice
proxy da un cliente, ma tutte le volte che ho provato a filtrare
HTTPS non ci sono mai riuscito. (l'ho fatto anni fa, e non ricordo
quali problemi ho avuto)
Il proxy deve essere in transparent mode, che sia impossibile
fare il transparent in HTTPS ?
-- 
Non tocca a noi dominare tutte le maree del mondo,
il nostro compito è di fare il possibile per la
salvezza degli anni nei quali viviamo,
sradicando il male dai campi che conosciamo.

fare il transparent in HTTPS ?
Quello che tu chiami transparent HTTPS proxying, altri lo chiamano
"man in the middle attack to SSL".
Poi, come glielo vendi un proxy SSL?
"Ecco! Grazie al nuovo software, tutti i suoi dati criptati - home
banking - carta di credito - eccetera - sono disponibili, in tempi
rapidissimi, perché ce n'e' una copia in chiaro sul disco locale -
basta che uno digiti il medesimo URL, per esempio, sua moglie, e i
dati arriveranno in un millisecondo. Il mattarello li seguirà dopo
qualche minuto".
Leonardo infame
-- 
Enough, enough!  But, stranger, ere we part,
Glancing farewell to each nefarious bier,
This warning would I beg you take to heart:
There is an end to e'en the worst career!

 transparent in HTTPS ?
In transparent mode HTTPS non può funzionare, per definizione.
Se vuoi far passare HtTPS per un proxy, *devi* impostare il proxy sul 
browser e gestire il metodo CONNECT sul proxy, filtrando in base all'IP o 
al nome del server a cui ti connetti.
Non hai ovviamente visibilità sulla URL richiesta.

 Poi, come glielo vendi un proxy SSL?
Hey, fermo.
Io devo solo applicare delle ACL.
Ovvero, l'utente X non deve poter aprire 
http://gmail.com
per dire. Tutto qui.
-- 
Non tocca a noi dominare tutte le maree del mondo,
il nostro compito č di fare il possibile per la


 Non hai ovviamente visibilità sulla URL richiesta.
Impostare il proxy sul client è impossibile.
E' una scuola, dovrei dire ai gestori di configurare tutti
i browser per usare il proxy sulla porta XXXX e gli utenti
ci mettono poco a cambiarla. (non andrebbero da nessuna parte,
ma aumenterebbe il lavoro per i gestori, che ogni 2x3 devono
riconfigurare il browser)
Non c'è modo, quindi, di filtrare la URL in transparent?


 Ovvero, l'utente X non deve poter aprire 
http://gmail.com
Ma non fai prima a mettere un bel paletto sul firewall alla porta 443?
-- 
Massimo Bacilieri AKA Crononauta

 Ma non fai prima a mettere un bel paletto sul firewall alla porta 443?
Non credo acconsentano.
Uno come la usa la webmail?
(forse nella scuola potrebbe andare bene, ma in altre installazioni
*non* posso bloccare l'https)
-- 
Non tocca a noi dominare tutte le maree del mondo,
il nostro compito è di fare il possibile per la


 Non c'è modo, quindi, di filtrare la URL in transparent?
No.
Come diceva Leonardo, SSL non è fatto per supportare il "man in the 
middle". E mi pare pure abbastanza ovvio, senza addentrarsi nei meandri 
dei perchè.
Puoi filtrare via firewall, sempre come diceva Leonardo, la 443 in uscita 
in toto o sugli IP specifichi del servizio che vuoi andare a bloccare.
Lavoro improbo, a mio avviso, quello di rincorrere eventuali cambi di IP, 
maggiore di quello di riconfigurare il proxy.
Max
P.S.: non vedo perchè i gestori debbano riconfigurare il browser ogni 
2x3, a meno che anche il proxy non abbia un IP assegnato da un DCHP 
configurato a pene di segugio, ma ciò la dice lunga su come sia 
configurata tutta la rete.


Questo è uno dei casi in cui sento la necessità di avere Active
Directory (detto su questo ng sembra un'eresia).
Fai una policy per il proxy, la applichi a quel gruppo di utenti e in
automatico avranno il proxy settato e non lo potranno cambiare.
Purtroppo funziona solo su Explorer :-(

 maggiore di quello di riconfigurare il proxy.
La difficoltà di qeusto approccio è (IMHO) quella di tagliare via
interi blocchi di IP (ad esempio GMail) oppure nel caso di virtualhost
(se blocchi via IP blocchi tutti i siti su quel virtualhost).

 Explorer :-(
Mica serve per forza AD ed exploder.
http://en.wikipedia.org/wiki/Web_Proxy_Autodiscovery_Protocol

Ovvero, l'utente X non deve poter aprire 
http://gmail.com
Devi mettere un proxy NON trasparente.
Oppure, ripensandoci, configuri il browser per avere proxy solo sulla
443, e sulla 80 va in transparent.
O ancora: non metti nulla (ed httpS non funzionerà). Chi vuole httpS,
si imposta il proxy esplicitamente sulla porta 443, e avrà le ACL con
CONNECT SSL.
Leonardo


CONNECT SSL.
Non so se il browser lo supporti, ma potresti tentare con:
http://www.acmeconsulting.it/Squid-Book/HTML/sec-wpad-protocol.html
function FindProxyForURL( url, host ) 
{
	return shExpMatch(url, "https*")
	? "PROXY 
http://192.168.1.254:8443
;"
	: "DIRECT"; /* In realtà è transparent */
} 
e, ovviamente, gli utenti COL CAVOLO che possono modificare alcunché;
o non hanno i diritti, o la policy glielo vieta.
E chi sgarra, bacchettate sulla pianta dei piedi.




Cero, ma così possono comunque cambiarsi il proxy a mano.
Certo, non serve a nulla se c'è un firewall configurato a modino

 serve a nulla se c'è un firewall configurato a modino
Io non gestisco nulla nelle scuole ma, vedendo di cosa sono capaci le 
nuove generazioni, un FW che blocca TUTTO è la prima cosa che metterei in 
piedi.
Lo davo per scontato.

 Lo davo per scontato.
Ovviamente, ma non decido... Io lo propongo, poi se non gli sta bene...


 
http://en.wikipedia.org/wiki/Web_Proxy_Autodiscovery_Protocol
Ok, quindi dici di usare WPAD.
A 'sto punto, evito il proxy trasparente e giro tutto al
proxy 'normale' tramite WPAD, https o meno.


 Certo, non serve a nulla se c'è un firewall configurato a modino
Per cio' che riguarda la mia esperienza, la policy AD sulle impostazioni
proxy e' un po' particolare, nel senso che si' nel client le
impostazioni vengono recepite, ma possono essere comunque
temporaneamente modificate.
bye G.L.
-- 
Da it.discussioni.consumatori.tutela:
 > P.S. Quando ci sarà lo switch-off, avrò problemi anche col
 > monitor del PC? Ho visto che è collegato in modalità analogica.


Basta che disabiliti la tab "Connessioni" >:)

 Certo, non serve a nulla se c'è un firewall configurato a modino
a modino? Se non hai nulla che ti instrada su internet non vedo tante
alternative all'unico proxy aziendale.
-- 
Massimiliano

 *non* posso bloccare l'https)
Usi il firewall per bloccare tutti gli  IP/HWADDRESS degli studenti, e lasci 
liberi gli insegnanti (che vogliono fare i giochini on-line) e squid. Con 
questo poi abiliti l'accesso solo a certi siti, con una lista positiva.
Non so nulla di scuole, ma per quanto riguarda le aziende non vedo altra 
possibilita' se non vuoi che i dipendenti si facciano i fatti loro o 
prendano tutti i virus della rete.
Nicola. 
-- 
chi va pian va san e va lontan

 proxy 'normale' tramite WPAD, https o meno.
Se usi firefox devi comunque cambiare le impostazioni per fargli leggere il 
file wpad.
