哎，說到HTTPS代理，我前兩天剛被坑了一把。你們知道嗎？就那個號稱"絕對安全"的付費代理，結(jié)果連我登錄的網(wǎng)站密碼都給我截獲了。氣得我直接找客服理論，你猜人家怎么說？"我們的代理確實加密了，但沒說過能防中間人攻擊啊"。聽聽，這說的是人話嗎？
說到中間人攻擊，有個特別有意思的事。去年我朋友老王，就是做電商那個，非要用免費HTTPS代理看競爭對手的數(shù)據(jù)。結(jié)果呢？他的店鋪后臺密碼第二天就出現(xiàn)在暗網(wǎng)上了。最搞笑的是，那個代理的官網(wǎng)還掛著"軍用級加密"的標(biāo)語，現(xiàn)在想想真是諷刺。
你們有沒有發(fā)現(xiàn)，現(xiàn)在市面上90%的代理服務(wù)商都在玩文字游戲？說什么"SSL加密"、"銀行級安全"，實際上呢？他們可能連證書校驗都沒做全。我測試過十幾家，能完整驗證證書鏈的不超過三家。這讓我想起上次在某個論壇看到的帖子，有人用代理登錄網(wǎng)銀，結(jié)果錢被轉(zhuǎn)走了，代理商還推卸責(zé)任說"我們只提供通道"。
說到證書，有個特別基礎(chǔ)但容易被忽略的問題。很多代理根本不校驗服務(wù)器證書的有效性！這意味著什么？如果有人偽造了你要訪問的網(wǎng)站證書，代理會傻乎乎地幫你轉(zhuǎn)發(fā)。我就遇到過這種情況，明明訪問的是正規(guī)網(wǎng)站，結(jié)果跳轉(zhuǎn)到了釣魚頁面。后來查了半天才發(fā)現(xiàn)是代理的問題。
你們知道最可怕的是什么嗎？有些代理會偷偷替換證書。對，就是那種看起來很正規(guī)的商業(yè)代理。他們會給你生成一個自簽名證書，美其名曰"加速解密"。聽起來很美好對吧？實際上這意味著他們能看到你所有的加密流量。我認識一個做安全測試的朋友，他拆解過幾個知名代理的客戶端，發(fā)現(xiàn)至少三分之一都在干這種事。
記得有次參加技術(shù)交流會，遇到個自稱"代理專家"的家伙。他信誓旦旦地說HTTPS代理絕對安全，因為數(shù)據(jù)是加密的。我當(dāng)時就笑了，問他："那代理服務(wù)器能看到你的HTTPS請求頭嗎？"這哥們直接懵了。其實很多人不知道，雖然內(nèi)容加密了，但域名信息是明文的。這意味著代理知道你訪問了哪些網(wǎng)站，只是不知道具體看了什么內(nèi)容而已。
說到日志，這又是個大坑。你以為用了HTTPS代理就沒人知道你的上網(wǎng)記錄？太天真了！我調(diào)查過二十多家代理服務(wù)商，只有兩家明確表示不記錄用戶訪問日志。其他的要么含糊其辭，要么直接承認會記錄。最夸張的是有家號稱"零日志"的，結(jié)果被爆出把用戶數(shù)據(jù)賣給廣告商。現(xiàn)在想想，那些免費代理為什么能免費？不就是靠賣用戶數(shù)據(jù)賺錢嗎？
突然想起來個事。上個月幫一個客戶做安全審計，發(fā)現(xiàn)他們公司用的企業(yè)代理居然在偷偷注入廣告代碼。對，就是那種正經(jīng)花錢買的企業(yè)級解決方案。你敢信？更離譜的是，聯(lián)系客服后對方理直氣壯地說這是"增值服務(wù)"。后來我們做了個測試，發(fā)現(xiàn)這個代理不僅注入廣告，還會修改網(wǎng)頁內(nèi)容。想想都后背發(fā)涼。
DNS泄露這個問題，估計很多人都沒注意過。就算用了HTTPS代理，如果你的DNS查詢走了默認通道，那跟裸奔有什么區(qū)別？我就中過招，明明開著代理，結(jié)果ISP還是知道我訪問了哪些網(wǎng)站。后來查了半天才發(fā)現(xiàn)是DNS設(shè)置的問題?，F(xiàn)在我都養(yǎng)成習(xí)慣了，用代理前先檢查DNS配置。
說到配置，你們知道代理客戶端有多不靠譜嗎？有些客戶端為了"用戶體驗"，會自動禁用證書驗證。更可怕的是，這個選項經(jīng)常默認開啟，而且藏得很深。我有次幫朋友修電腦，發(fā)現(xiàn)他的代理客戶端居然在后臺自動更新證書，連個提示都沒有。這要是個惡意軟件，分分鐘就能搞中間人攻擊。
突然想到個有趣的現(xiàn)象。很多人覺得花錢買的代理就安全，其實未必。去年有個挺貴的商業(yè)代理被爆出漏洞，攻擊者可以直接獲取其他用戶的會話信息。最諷刺的是，這個漏洞存在了兩年多都沒人發(fā)現(xiàn)。直到有個白帽子閑得無聊做了次滲透測試，這事才曝光。
流量特征識別這個事也挺可怕的。就算用了HTTPS代理，熟練的攻擊者還是能通過流量模式推測你在干什么。我認識個搞網(wǎng)絡(luò)安全的，他能通過數(shù)據(jù)包時序判斷用戶是在刷視頻還是在看網(wǎng)頁。這技術(shù)要是被濫用，隱私就是個笑話。
你們試過用代理訪問那些檢測嚴格的網(wǎng)站嗎？比如某些銀行或者政府網(wǎng)站。我有次用代理登錄稅務(wù)系統(tǒng)，直接被封號了。打電話問客服，人家說檢測到我在用代理。我就納悶了，HTTPS不是應(yīng)該隱藏這些信息嗎？后來才知道，這些網(wǎng)站會檢測TLS握手特征，一抓一個準(zhǔn)。
說到TLS，版本問題也很頭疼。很多老舊的代理服務(wù)器還停留在TLS 1.0或者1.1，這些版本早就不安全了。但你去問客服，他們八成會說"為了兼容性考慮"。兼容性個鬼啊，根本就是懶得升級服務(wù)器。我測試過，強制使用TLS 1.3的代理連十分之一都不到。
突然想起來，瀏覽器擴展代理也是個深坑。那些號稱"一鍵安全上網(wǎng)"的插件，有幾個是靠譜的？去年爆出過一個大新聞，某知名VPN擴展其實是個惡意軟件，偷偷記錄用戶的所有活動。更可怕的是，這個擴展在商店里有幾十萬下載量，評分還特別高。
說到評分，應(yīng)用商店里的水軍簡直泛濫成災(zāi)。那些五星好評的代理APP，有幾個是真的？我做過實驗，買了三個評分4.8以上的代理APP，結(jié)果兩個會泄露真實IP，一個直接在后臺挖礦。最搞笑的是，差評里早就有人指出這些問題，但都被水軍刷下去了。
配置錯誤這種事太常見了。你以為設(shè)置了全局代理就萬事大吉？太天真了！很多應(yīng)用程序會繞過系統(tǒng)代理設(shè)置，特別是那些國產(chǎn)軟件。我有次開著代理測試，結(jié)果微信的流量全走直連。查了半天才發(fā)現(xiàn)是微信自己搞了個私有網(wǎng)絡(luò)棧，根本不理會系統(tǒng)設(shè)置。
IPv6泄漏也是個容易被忽略的問題?，F(xiàn)在很多網(wǎng)絡(luò)都支持IPv6了，但代理服務(wù)器可能只代理IPv4流量。這意味著如果你的設(shè)備有IPv6地址，部分流量可能會繞過代理直接發(fā)送。我就吃過這個虧，明明開著代理，結(jié)果真實IP還是暴露了。
末尾說個細思極恐的事。有些代理服務(wù)商會故意保留后門，方便"配合執(zhí)法"。聽起來很正當(dāng)對吧？但問題是誰來監(jiān)督這個"執(zhí)法"是合法的？去年不是有家知名代理商被爆出，把用戶數(shù)據(jù)賣給某些國家的情報機構(gòu)嗎？這事后來就不了了之了。
說到底，HTTPS代理就是個工具，工具本身沒有善惡，關(guān)鍵看怎么用。但現(xiàn)在的代理市場魚龍混雜，吹得天花亂墜的實際上一堆坑。用之前最好自己測試下，別光看廣告宣傳。我就吃過太多次虧了，現(xiàn)在養(yǎng)成了新習(xí)慣：任何代理都要先放在測試環(huán)境里折騰半個月才敢用。
