Рассмотрим случай перехвата SSL.
Как правило, если у вас есть зашифрованное соединение SSL с сервером, вы можете верить, что вы "действительно * подключены к этому серверу, и что владельцы сервера определилисами по себе однозначно доверенному стороннему лицу, такому как Verisign, Entrust или Thawte (предоставив учетные данные, идентифицирующие их имя, адрес, контактную информацию, возможность ведения бизнеса и т. д., и получив сертификат, подписанный сторонней подписью).SSL, этот сертификат является гарантией для конечного пользователя, что трафик между браузером пользователя (клиентом) и конечной точкой SSL сервера (который может быть не самим сервером, а некоторым коммутатором, маршрутизатором или балансировщиком нагрузки, где установлен сертификат SSL) является безопасным. Любой, кто перехватывает этот трафик, попадает в тупик, и если они каким-либо образом вмешиваются в него, то сервер отклоняет трафик.
Но перехват SSL становится распространенным во многих компаниях. С перехватом SSLНапример, вы «запрашиваете» HTTPS-соединение с (например) www.google.com, коммутатор / маршрутизатор / прокси-сервер компании передает вам действующий сертификат с именем www.google.com в качестве конечной точки (чтобы ваш браузер не жаловалсяо несоответствии имени), но вместо того, чтобы быть подписанным доверенной третьей стороной взаимно , оно подписывается их собственным центром сертификации (работающим где-то в компании), которому также доверяет ваш браузер (поскольку он находится в списке доверенных корневых центров сертификации, который контролирует компания).
Затем прокси-сервер компании устанавливает отдельное SSL-зашифрованное соединение с целевым сайтом (в этом примере www.google.com), нопрокси / коммутатор / маршрутизатор в середине теперь может регистрировать весь ваш трафик.
Вы все еще видите значок блокировки в вашем браузере, поскольку трафик зашифрован до внутренней конечной точки SSL вашей компании с использованием их собственнойсертификат, и трафик повторно шифруется от этой конечной точки до конечного пункта назначения с использованиемSSL-сертификат получателя, но посредник (прокси / маршрутизатор / коммутатор) теперь может регистрировать, перенаправлять или даже подделывать весь ваш трафик.
Шифрование на уровне сообщений гарантирует, что сообщение останетсязашифрован, даже во время этих промежуточных «прыжков», где дешифруется сам трафик.
Балансировка нагрузки является еще одним хорошим примером, поскольку сертификат SSL обычно устанавливается на балансировщике нагрузки, который представляет конечную точку SSL.Затем балансировщик нагрузки отвечает за решение, на какую физическую машину отправлять для обработки теперь расшифрованный трафик.Ваши сообщения могут проходить несколько таких «прыжков», прежде чем они, наконец, достигнут конечной точки службы, которая сможет понять и обработать сообщение.