Thread Info
Options
This discussion has been locked.
You can no longer post new replies to this discussion. If you have a question you can start a new discussion

Transparent vs Explicitly Defined Proxy

gzartman
With Transparent proxy, I understand that the client definitely needs SSL bump  in order for Decrypt and Scan web filtering.

Does the client need SSL Bump if I define the proxy explicitly in the client internet settings?  An IT consultant is telling me SSL bump is an un-needed security risk.

Thanks,

Greg


This thread was automatically locked due to age.
  • 0
    I'm not sure what you mean by "SSL bump".  The Certificate Authority needs to installed if you are doing Decrypt and Scan in either Transparent or Explicit Proxy (what the UTM called Standard Mode).

    Installing the Certificate Authority means that the UTM can inspect all your traffic, which can be considered a security risk - in theory if we were malicious the UTM could monitor your bank traffic and steal your account information.  It also means we can scan all traffic for viruses, enforce SafeSearch, can prevent access to categories of sites and filetypes, etc.

    Basically if you want the added security that the UTM brings by scanning HTTPS traffic, you will have the added risk that the UTM can decode your traffic.  The same would be true for any similar product.
    • 0
      "SSL Bump" is the term I've heard thrown around is the different web content scanning developer circles to indicate decryption and scanning of the SSL data stream.

      What you are saying makes perfect sense.  The developer I was talking to told me that installing the CA is not necessary to scanning the SSL datastream.  He felt that the explicitly defining the proxy in the client would allow the proxy to decrypt the stream without the need to install the CA.
      • 0
        The developer is incorrect.

        There is a minor difference between transparent and explicit when you are not doing decrypt and scan - that being how easy is it to determine the real domain that the user is going to.  In 9.1 transparent we did not have this, in 9.2 transparent we do (now called "URL Filtering Only").  Explicit always knows the real destination.  But that only how to do with domain categorization and blocking.  Actual stream decryption requires a full man-in-the-middle attack with CA authority.