SSL ortadaki adam saldırılarının, özellikle şirket ortamlarında düşündüğümden çok daha yaygın olduğunu fark ettim. Şeffaf bir SSL proxy sunucusu bulunan birkaç işletmeyi duydum ve gördüm. Tüm istemciler bu proxy sertifikasına güvenecek şekilde yapılandırılmıştır. Bu temel olarak işverenin teorik olarak SSL şifreli trafiği bile tarayıcıda herhangi bir uyarı yapmadan yakalayabileceği anlamına gelir. Yukarıda belirtildiği gibi, müşteriler sertifika güvenilir olarak geliyor. Bu yalnızca kullanılan sertifikayı manuel olarak doğrulayarak açıklanabilir.
Bana göre, işveren, çalışanın SSL trafiğini gözetlemek için üstün konumunu kullanıyor gibi görünüyor. Benim için bu, tüm SSL kavramını güvenilmez kılıyor. Mitmproxy kullanarak benzer bir kurulumu kendim başarılı bir şekilde test ettim ve müşteri ile elektronik bankacılık sunucum arasındaki iletişimi okuyabildim. Bu kimseye açıklanmaması gereken bir bilgidir.
Bu yüzden sorum oldukça basit: Sunucu tarafında güven zincirini nasıl doğrulayabilirim? İstemcinin sunucumun sertifikasını ve yalnızca bir güven zincirini kullandığından emin olmak istiyorum. Acaba bunun Apache'nin SSL yapılandırmasıyla gerçekleştirilip gerçekleştirilemeyeceğini? Bu, birçok uygulamaya kolayca uygulanabileceğinden uygun olacaktır. Bu mümkün değilse, PHP bunu yapmak için bir yol biliyor mu? Veya başka bir öneriniz var mı?