edofullo Infatti i firewall enterprise ti troncano proprio la connessione.
Il trucco di cambiare l'host in risposta al DNS (al di là che invalida le firme DNSSEC) è appunto un barbatrucco economico per filtrare le richieste più stupide, nato e diffuso soprattutto per limitare le pubblicità o comunque fare un blando filtraggio nelle reti in cui è difficile metter dei paletti o andare ad analizzare tutto il traffico (ci vuole birra).
Filtraggi più seri vengono fatti dove il costo degli apparati, licenze e gestione viene giustificato dai risultati.
Nelle aziende più sensibili i firewall perimetrali operano sostanzialmente come dei full-proxy, con tanto di SSL decryption e analisi del traffico che era cifrato. Chiaro che questo ha ripercussioni sia sui sistemi, sugli utenti e sul trattamento dei dati personali in transito.
kRel non ciò capito niente 😁😁 fà nulla . . .
Lo SNI è un'estensione del protocollo TLS che trasmette in chiaro (a meno delle ultime proposte per cifrare anche quello) nel pacchetto di inizio connessione il nome host cui ti vuoi collegare, per permettere al server di selezionare il certificato e il profilo corretto qualora dietro lo stesso IP vi siano più servizi diversi.
Analizzando i pacchetti in transito, non si può vedere il contenuto perché ovviamente cifrato, ma è possibile stabilire che ti stai collegando all'host www.example.com ad esempio, e ciò permetterebbe le stesse indagini statistiche possibili ad esempio "sniffando" le query DNS. 😉
