PHPでプロキシ

Question

PHPでWEBサイトを構築しています。
HTTPS通信でデータのやり取りを行っているのですが
透過型プロキシを利用する事で通信内容が丸見えである事がわかりました。

どうにかして透過型プロキシを検知して遮断する事は可能でしょうか？
またpythonでのサイト再構築も視野にいれているため、pythonでも
教えていただければ幸いです。

現在、非常に危険な状態で急を要しています。
よろしくお願いします。

(2015/4/28 08:03追記)
たぶん、そのような通信の場合は認証されていないSSL証明書を経由して
通信してくるので、HTTPSリクエスト時にクライアントが利用した証明書を
検証する事が出来ればいいのかなーなんて、そんな都合のいい事を考えてたりもします。
出来るかどうかわかりませんが…。

結果的に、サーバーサイドで透過型プロキシを検知して遮断したいので
方法は何でも構いません。

Answer 1

HTTPSであっても、プロキシサーバを挟むと挟まないとにかかわらず、POSTするデータの内容はユーザー側で自由に生成することができます。さらに言えば、ログインが必要な場面であっても、ログインした状態のブラウザからコンソールを使えば任意のことを実行できます。使うソフトウェアはブラウザだけなので、システム的に検知することは不可能です。

HTTPSとは別な次元で、POST内容の整合性チェックはサーバ側できっちり行う必要があります。

Comments

[inukujira]

なるほどぉ、って事はやっぱりHTTPSﾌﾟﾛﾄｺﾙの暗号化に頼らず
POSTﾃﾞｰﾀ自体に暗号化かけて、ｻｰﾊﾞｰ側でそれを復号化させる
ような仕組みでないとダメって事かー、、。

Answer 2

回答ありがとうございます。
やはりサーバーサイドで制限するのは不可能みたいですね。

body自体に暗号化を書けることで今回はfixしようと思います。
沢山のご意見ありがとうございました＾＾

Answer 3

端的に言えば、Man in the Middle的な透過型プロキシーがクライアントとサーバの経路上にいるかどうかは、サーバ側で検出することはできません。なので、サーバ側で対処する方法はないです。

質問者さんの心配は、Man in the Middle的な透過型プロキシーから、ユーザを守る方法を知りたい、ということですか？

Comments

[chokojori]

簡単な方法としてEV SSL証明書を使い、ユーザにはブラウザのロケーションバーが「緑色」になっていることを確認するように呼びかける方法がありますかね。

[inukujira]

回答ありがとうございます。
やはりサーバーサイドで制限するのは不可能みたいですね。

body自体に暗号化を書けることで今回はfixしようと思います。
沢山のご意見ありがとうございました＾＾

Answer 4

透過型プロキシを利用する事で通信内容が丸見えである事がわかりました。

勘違いでは？HTTPSの場合、丸見えなのは暗号化後のデータであって、平文が見えるわけではありません。
透過型プロキシーサーバーもそうでないプロキシーサーバーも、プロキシーとしての機能は同じです。

Comments

[inukujira]

えっと、すいません。ちょっと回答の意味がわからないのですが
例えばmitmproxy等を利用して、HTTPS通信時のパケットを解析すると
プレーン（平文）な状態で容易にresponse.bodyを閲覧する事が出来ます。

この場合、通信の改竄による不正なPOSTデータの送信が行われてしまうので
それを防ぎたいと思っています。

[otn]

それは、透過型かどうかには無関係です。
透過型プロキシーサーバー＝ルーターに内蔵されたプロキシーサーバー

また、お書きのmitmproxyなどを使うためには端末側にmitmproxyサーバーの証明書インストールが必要で、つまりユーザーが意図的にmitmproxyを使っているわけなので、ケアしなくていいと思います。

[inukujira]

回答頂きましてありがとうございます。

すいません、素人の私には、なぜそれをケアしなくて良いのかがわかりません。
SSL通信を傍受したり改ざんする事が可能である限り、対策を講じる必要があると考えていますが
何か考え方が違うのかな…。

どちらにせよ、"ケアする場合"は何か対策する事は可能でしょうか？
質問にも追記しましたが、恐らく認証されていない証明書を利用していると
思いますので、非認証な証明書でSSLが行われた事をサーバー側で検証する事は可能でしょうか？

[maisumakun]

中間にHTTPSを解読するようなプロキシサーバを入れた場合でも、そのプロキシサーバ～Webサーバの間では正規の証明書でHTTPSセッションを構築しています（というか、そうでないと通信が成立しません）。

[ngyuki]

どうしてもということなら、ユーザーにクライアント証明書を配布してクライアント認証するとかはどうでしょうかね？

[otn]

さきほども書きましたが、ユーザーがクライアントにそういうプロキシーサーバーの証明書をインストールしている＝ユーザーはHTTPSを解釈するプロキシーサーバーを経由したアクセスを望んでいるわけなので、そのユーザーの自由を尊重するべきだと思いますよ。

典型的な例としては、企業が従業員のHTTPSアクセス内容を把握したい（情報漏洩検知）ということなら、そうさせてあげるべきだと思います。

まあ、もし「そういう企業はけしからんので、アクセスさせてあげない」ということなら、そういう禁止する自由もあるわけですが。