SSL Proxy

Como funciona o proxy SSL?

O proxy SSL fornece transmissão segura de dados entre um cliente e um servidor por meio de uma combinação do seguinte:

• A autenticação do servidor de autenticação protege contra transmissões fraudulentas, permitindo que um navegador da Web valide a identidade de um servidor da Web.

• Confidencialidade - O SSL reforça a confidencialidade criptografando dados para evitar que usuários não autorizados espionem comunicações eletrônicas; garante, assim, a privacidade das comunicações.

• Integridade - A integridade da mensagem garante que o conteúdo de uma comunicação não seja adulterado.

O firewall da Série SRX, atuando como proxy SSL, gerencia as conexões SSL entre o cliente em uma extremidade e o servidor na outra extremidade e executa as seguintes ações:

• Sessão SSL entre o cliente e a Série SRX - Encerra uma conexão SSL de um cliente, quando as sessões SSL são iniciadas do cliente para o servidor. O firewall da Série SRX descriptografa o tráfego, inspeciona-o em busca de ataques (em ambas as direções) e inicia a conexão em nome dos clientes com o servidor.

• Sessão SSL entre o servidor e a Série SRX - Encerra uma conexão SSL de um servidor, quando as sessões SSL são iniciadas do servidor externo para o servidor local. O firewall da Série SRX recebe texto não criptografado do cliente e criptografa e transmite os dados como texto cifrado para o servidor SSL. Por outro lado, a Série SRX descriptografa o tráfego do servidor SSL, inspeciona-o em busca de ataques e envia os dados ao cliente como texto não criptografado.

• Permite a inspeção do tráfego criptografado.

O servidor proxy SSL garante a transmissão segura de dados com tecnologia de criptografia. O SSL depende de certificados e pares de troca de chave pública-privada para fornecer a comunicação segura. Para obter mais informações, consulte Certificados SSL.

Para estabelecer e manter uma sessão SSL entre o firewall da Série SRX e seu cliente/servidor, o firewall da Série SRX aplica a política de segurança ao tráfego que recebe. Quando o tráfego corresponde aos critérios da política de segurança, o proxy SSL é habilitado como um serviço de aplicativo dentro de uma política de segurança.

Proxy SSL com serviços de Segurança de Aplicativos

A Figura 1 mostra como o proxy SSL funciona em uma carga criptografada.

Figura 1: Proxy SSL em um payload criptografado

Quando serviços de Segurança Avançada, como firewall de aplicativos (AppFW), Intrusion Detection and Prevention (IDP), rastreamento de aplicativos (AppTrack), Segurança de Conteúdo e ATP Cloud são configurados, o proxy SSL atua como um servidor SSL encerrando a sessão SSL do cliente e estabelecendo uma nova sessão SSL para o servidor. O firewall da Série SRX descriptografa e criptografa novamente todo o tráfego de proxy SSL.

IDP, AppFW, AppTracking, roteamento avançado baseado em políticas (APBR), Segurança de conteúdo, ATP Cloud e redirecionamento de serviço ICAP podem usar o conteúdo descriptografado do proxy SSL. Se nenhum desses serviços estiver configurado, os serviços de proxy SSL serão ignorados, mesmo que um perfil de proxy SSL esteja anexado a uma política de firewall.

Com a implementação do proxy SSL, o AppID pode identificar aplicativos criptografados em SSL. O proxy SSL pode ser habilitado como um serviço de aplicativo em uma regra de política de firewall regular. Intrusion Detection and Prevention (IDP), firewall de aplicativos (AppFW), rastreamento de aplicativos (AppTrack), serviços de roteamento avançado baseado em políticas (APBR), Segurança de conteúdo, ATP Cloud e Segurança Intelligence (SecIntel) podem usar o conteúdo descriptografado do proxy SSL.

Para determinar se um recurso é suportado por uma plataforma específica ou versão do Junos OS, consulte Explorador de recursos

Na carga SSL, o IDP pode inspecionar ataques e anomalias; por exemplo, estouro de comprimento de bloco HTTP em HTTPS. Em aplicativos criptografados, como o Facebook, o AppFW pode aplicar políticas e o AppTrack (quando configurado nas zonas de e para) pode relatar problemas de registro com base em aplicativos dinâmicos.

Aproveitando a identificação dinâmica de aplicativos

O proxy SSL usa serviços de identificação de aplicativos para detectar dinamicamente se uma sessão específica está criptografada por SSL. Os proxies SSL são permitidos somente se uma sessão for criptografada por SSL. As seguintes regras se aplicam a uma sessão:

• A sessão é marcada Encrypted=Yes no cache do sistema de aplicativos. Se a sessão estiver marcada Encrypted=Yescomo , isso indica que a correspondência final da identificação do aplicativo para essa sessão é criptografada por SSL e o proxy SSL faz a transição para um estado em que a funcionalidade de proxy pode ser iniciada.

• A sessão é marcada Encrypted=No no cache do sistema de aplicativos. Se uma entrada não SSL for encontrada no cache do sistema de aplicativos, isso indicará que a correspondência final da identificação do aplicativo para essa sessão é não SSL e o proxy SSL ignorará a sessão.

• Uma entrada não é encontrada no cache do sistema de aplicativos. Isso pode acontecer na primeira sessão ou quando o cache do sistema do aplicativo foi limpo ou expirou. Nesse cenário, o proxy SSL não pode esperar pela correspondência final (requer tráfego em ambas as direções). No proxy SSL, o tráfego na direção inversa ocorrerá somente se o proxy SSL tiver iniciado um handshake SSL. Inicialmente, para esse cenário, o proxy SSL tenta aproveitar os resultados de correspondência pré-correspondência ou agressiva da identificação do aplicativo e, se os resultados indicarem SSL, o proxy SSL prosseguirá com o handshake.

• A identificação do aplicativo falha devido a restrições de recursos e outros erros. Sempre que o resultado da identificação do aplicativo não estiver disponível, o proxy SSL assumirá a vinculação de porta estática e tentará iniciar o handshake SSL na sessão. Isso será bem-sucedido para sessões SSL reais, mas resultará em sessões descartadas para sessões não SSL.

Tipos de proxy SSL

O proxy SSL é um proxy transparente que executa criptografia e descriptografia SSL entre o cliente e o servidor. O SRX atua como o servidor da perspectiva do cliente e atua como o cliente da perspectiva do servidor. Nos firewalls da Série SRX, a proteção do cliente (proxy de encaminhamento) e a proteção do servidor (proxy reverso) são suportadas usando o mesmo sistema de eco SSL-T-SSL [terminador no lado do cliente] e SSL-I-SSL [iniciador no lado do servidor]).

O firewall da Série SRX oferece suporte aos seguintes tipos de proxy SSL:

• Proteção ao cliente Proxy SSL também conhecido como proxy de encaminhamento — O firewall da Série SRX reside entre o cliente interno e o servidor externo. Sessão de saída de proxy, ou seja, sessão SSL iniciada localmente para a Internet. Ele descriptografa e inspeciona o tráfego de usuários internos para a Web.

• Proxy SSL de proteção do servidor, também conhecido como proxy reverso — O firewall da Série SRX reside entre o servidor interno e o cliente externo. Sessão de entrada de proxy, ou seja, sessões SSL iniciadas externamente da Internet para o servidor local.

Para obter mais informações sobre proxy de encaminhamento SSL e proxy reverso, consulte Configurando proxy SSL.

Protocolos SSL suportados

Os seguintes protocolos SSL são suportados nos firewalls da Série SRX para o serviço de iniciação e terminação de SSL:

• TLS versão 1.2 — Esta versão aprimorada do TLS oferece flexibilidade aprimorada para negociação de algoritmos criptográficos.

• TLS versão 1.3 — Esta versão aprimorada do TLS oferece segurança aprimorada e melhor desempenho.

Em versões recentes do Junos OS, as versões do protocolo TLS 1.0 e TLS 1.1 são descontinuadas para proxy SSL — em vez de removidas imediatamente — para fornecer compatibilidade com versões anteriores e uma chance de colocar sua configuração em conformidade com a nova configuração.

Quando você usa o TLS 1.3, o firewall da Série SRX suporta o grupo secp256r1 para troca de chaves para estabelecer conexão com o servidor. Se o servidor suportar apenas secp384r1, a conexão será encerrada.

Os firewalls da Série SRX oferecem suporte a SNI para o processo de iniciação de SSL (SSL-I). A indicação de nome de servidor (SNI) é uma extensão do cabeçalho SSL/TLS, que carrega o nome de host do servidor de destino durante a troca HTTPS "Client Hello" em texto não criptografado antes que o handshake SSL seja concluído.

Benefícios do Proxy SSL

• Descriptografa o tráfego SSL para obter informações granulares de aplicativos e permitir que você aplique proteção de serviços avançados de segurança e detecte ameaças.

• Impõe o uso de protocolos e cifras fortes pelo cliente e pelo servidor.

• Oferece visibilidade e proteção contra ameaças incorporadas no tráfego criptografado SSL.

• Controla o que precisa ser descriptografado usando o Proxy SSL Seletivo.

Suporte a sistemas lógicos

É possível habilitar o proxy SSL em políticas de firewall configuradas usando sistemas lógicos; No entanto, observe as seguintes limitações:

• No momento, não há suporte para a categoria "serviços" na configuração de sistemas lógicos. Como o proxy SSL está em "serviços", você não pode configurar perfis de proxy SSL por sistema lógico.

• Como os perfis de proxy configurados em nível global (em "proxy SSL de serviços") são visíveis em configurações lógicas do sistema, é possível configurar perfis de proxy em nível global e anexá-los às políticas de firewall de um ou mais sistemas lógicos.

Limitações

Em todos os firewalls da Série SRX, a implementação atual do proxy SSL tem as seguintes limitações de conectividade:

• O suporte ao protocolo SSLv3.0 foi descontinuado.

• O protocolo SSLv2 não é suportado. As sessões SSL usando SSLv2 são descartadas.

• Somente o certificado X.509v3 é compatível.

• A autenticação do cliente do handshake SSL não é suportada.

• As sessões SSL em que a autenticação do certificado do cliente é obrigatória são descartadas.

• As sessões SSL em que a renegociação é solicitada são descartadas.

• Nos firewalls da Série SRX, para uma sessão específica, o proxy SSL só é habilitado se um recurso relevante relacionado ao tráfego SSL também estiver habilitado. Os recursos relacionados ao tráfego SSL são IDP, identificação de aplicativos, firewall de aplicativos, rastreamento de aplicativos, roteamento avançado baseado em políticas, Segurança de conteúdo, ATP Cloud e serviço de redirecionamento ICAP. Se nenhum desses recursos estiver ativo em uma sessão, o proxy SSL ignorará a sessão e os logs não serão gerados nesse cenário.
• Os firewalls da Série SRX que operam na configuração de alta disponibilidade de vários nós não suportam a funcionalidade de proxy SSL.