企業透明代理伺服器 - 你的公司能看到什麼

Created 2021-01-31 Updated 2025-10-18

企業 SSL 攔截如何運作
為什麼你的瀏覽器顯示憑證有效
你的公司能看到什麼
如何保護敏感資訊
為什麼 Apple 推播通知服務（APNS）阻擋代理伺服器
偵測你網路上的 SSL 攔截
在公司網路上的隱私最佳實務
法律和倫理考量
IT 管理員應該考慮的事項
做出選擇

你在公司，午休時瀏覽銀行帳戶。瀏覽器顯示綠色鎖頭圖示——HTTPS 正在運作，一切都已加密，對吧？不完全是。你公司的透明代理伺服器正坐在中間，解密你的每一次按鍵、每一個密碼、每一則私人訊息。

大多數員工不知道公司網路可以解密 HTTPS 流量。他們看到鎖頭圖示就認為連線是私密的。但那個鎖頭在說謊。你的瀏覽器信任的憑證不是來自你的銀行——而是來自你公司的代理伺服器，偽裝成你的銀行。

這不是駭客攻擊或安全漏洞。這是一個功能。全球數千家公司部署了具有 SSL 攔截功能的企業透明代理伺服器，默默地解密和檢查員工流量，用於安全監控、資料外洩防護和政策執行。

了解這如何運作不只是技術好奇心——而是關於了解你在公司網路上實際擁有什麼隱私。

企業 SSL 攔截如何運作

當你在具有 SSL 攔截的公司網路上連線到 https://neo01.com 時，實際發生的情況如下：

sequenceDiagram participant C as 你的瀏覽器 participant P as 公司代理伺服器 participant B as neo01.com C->>P: 連線到 neo01.com:443 Note over C,P: 瀏覽器以為在跟 neo01.com 通訊 P->>B: 建立真實的 HTTPS 連線 B->>P: 傳送真實憑證 (DigiCert) P->>P: 產生假憑證 (公司 CA) P->>C: 傳送假憑證 Note over P,C: 由公司 CA 簽署 C->>C: 驗證憑證 Note over C: ✓ 有效！公司 CA 受信任 C->>P: 傳送加密資料 (密碼等) P->>P: 解密並檢查 Note over P: 代理伺服器可以看到一切 P->>B: 重新加密並轉發 B->>P: 傳送回應 P->>C: 解密、檢查、重新加密

關鍵步驟：

攔截：代理伺服器在你的 HTTPS 連線到達網際網路之前攔截它
雙重連線：代理伺服器建立兩個獨立的 HTTPS 連線：
- 一個與你連線（使用假憑證）
- 一個與真實網站連線（使用真實憑證）
憑證偽造：代理伺服器為 neo01.com 產生假憑證，由公司 CA 簽署
解密：代理伺服器解密你的流量，檢查它，然後在轉發前重新加密
完全可見：代理伺服器以明文看到一切：密碼、信用卡、訊息

為什麼你的瀏覽器顯示憑證有效

這是讓大多數人困惑的部分。你檢查憑證，它顯示有效，但簽發者是錯的。為什麼你的瀏覽器不警告你？

公司 CA 憑證

當你加入公司並收到筆記型電腦時，IT 部門會在你系統的受信任根憑證存放區中安裝公司 CA（憑證授權單位）憑證。

Windows：

位置：certmgr.msc → 受信任的根憑證授權單位
憑證：「公司 IT 根 CA」或類似名稱
目的：信任由公司 CA 簽署的憑證

macOS：

位置：鑰匙圈存取 → 系統 → 憑證
憑證：公司 CA
信任設定：永遠信任

這意味著什麼：你的作業系統現在信任任何由公司 CA 簽署的憑證——包括代理伺服器產生的假憑證。

憑證驗證流程

當你的瀏覽器透過代理伺服器連線到 https://neo01.com 時：

1. 瀏覽器收到 neo01.com 的憑證
2. 憑證簽發者：「公司 IT 根 CA」
3. 瀏覽器檢查：「公司 IT 根 CA」受信任嗎？
4. 系統說：是的，它在受信任的根憑證存放區中
5. 瀏覽器顯示：✓ 有效憑證，綠色鎖頭

欺騙：憑證在技術上是有效的——它由受信任的 CA 正確簽署。但它不是來自 neo01.com 的真實憑證。它是代理伺服器產生的假憑證。

檢查真實憑證簽發者

以下是如何查看實際發生的情況：

在 Chrome/Edge 中：

1. 點擊鎖頭圖示 → 憑證
2. 查看「簽發者」欄位
3. 預期：「DigiCert」、「Let's Encrypt」、「Sectigo」
4. 實際：「公司 IT 根 CA」、「Blue Coat」、「Zscaler」

在 Firefox 中：

1. 點擊鎖頭 → 連線安全 → 更多資訊
2. 檢視憑證 → 簽發者
3. 與預期簽發者比較

命令列：

# 檢查憑證簽發者
echo | openssl s_client -connect neo01.com:443 2>/dev/null | openssl x509 -noout -issuer

# 預期輸出：
issuer=C=US, O=DigiCert Inc, CN=DigiCert TLS RSA SHA256 2020 CA1

# 實際輸出（有代理伺服器）：
issuer=C=US, O=YourCompany, CN=Corporate IT Root CA

🚨 不同的簽發者 = 中間人攻擊

如果憑證簽發者與預期的 CA 不符，你就在 SSL 攔截代理伺服器後面。你的流量正在被解密和檢查。

你的公司能看到什麼

啟用 SSL 攔截後，公司代理伺服器可以完全看到你的 HTTPS 流量。

HTTPS 請求中的所有內容

✓ 完整的 URL，包括查詢參數
✓ HTTP 標頭（cookies、使用者代理、來源）
✓ POST 資料（表單提交、上傳）
✓ 密碼和憑證
✓ 信用卡號碼
✓ 私人訊息（電子郵件、聊天、社群媒體）
✓ 醫療資訊
✓ 財務資料

範例：銀行會話：

URL: https://neo01.com/login
POST 資料: username=john@email.com&password=MySecret123
Cookies: session_id=abc123xyz789
標頭: Authorization: Bearer eyJhbGc...

代理伺服器以明文看到所有內容。

即使沒有解密也有中繼資料

即使特定內容沒有被解密，代理伺服器也會收集中繼資料：

✓ 你造訪哪些網站
✓ 你何時造訪它們
✓ 你停留多久
✓ 你傳輸多少資料
✓ 你使用哪些裝置
✓ 你的位置（IP 位址）

記錄的內容

公司代理伺服器通常會記錄大量資訊：

{
  "timestamp": "2021-01-31T14:23:45Z",
  "user": "john.doe",
  "device": "LAPTOP-12345",
  "source_ip": "192.168.1.100",
  "destination": "neo01.com",
  "url": "https://neo01.com/account/transfer",
  "method": "POST",
  "bytes_sent": 2048,
  "bytes_received": 4096,
  "duration_ms": 342,
  "category": "Finance",
  "action": "allowed",
  "content_type": "application/json"
}

保留期限：記錄通常保留 90 天到 1 年，有時為了合規性會更長。

存取權限：網路管理員、安全團隊、管理層、人力資源、法務，以及可能的執法機關都可以存取記錄。

⚠️ 沒有隱私期望

公司可接受使用政策通常會聲明：「員工在使用公司網路資源時沒有隱私期望。」你做的一切都可以被監控和記錄。

如何保護敏感資訊

1. 使用行動數據進行個人活動

避免公司監控最可靠的方法是不使用公司網路。

個人銀行業務：使用手機的行動數據
醫療資訊：使用個人裝置、行動數據
私人通訊：使用個人手機
敏感瀏覽：切換到行動熱點

為什麼有效：

繞過公司網路：行動數據直接連到你的電信業者，不經過公司基礎設施
沒有安裝公司 CA：你的個人手機的信任存放區中沒有公司 CA 憑證
SSL 攔截不可能：沒有公司 CA，代理伺服器無法產生受信任的假憑證
沒有記錄：公司無法記錄從未接觸其網路的流量

關鍵差異：即使你的個人手機透過行動數據以某種方式連線到公司代理伺服器，SSL 攔截也會失敗，因為你的手機會拒絕假憑證——公司 CA 不受信任。

限制：

行動數據方案的資料上限
速度比公司 WiFi 慢
不適合大型下載

2. 檢查憑證簽發者

在輸入敏感資訊之前，驗證憑證簽發者。

# 在瀏覽器中快速檢查
1. 點擊鎖頭圖示
2. 檢視憑證
3. 檢查「簽發者」欄位
4. 如果是公司 CA → 你正在被攔截
5. 在繼續之前切換到行動數據

警訊：

簽發者：「公司 IT」、「Blue Coat」、「Zscaler」、「Palo Alto Networks」
簽發者組織與你的公司名稱相符
憑證對所有網域有效（萬用字元代理憑證）

3. 使用憑證固定應用程式

某些應用程式實作憑證固定——它們只接受特定憑證並拒絕代理憑證。

具有憑證固定的應用程式：

銀行應用程式（行動版）
密碼管理器（1Password、LastPass）
VPN 客戶端
某些企業應用程式
Apple 推播通知服務（APNS）

運作方式：

# 應用程式有預期的憑證指紋
expected_cert_hash = "sha256/AAAAAAAAAA..."

# 連線時，驗證憑證
if actual_cert_hash != expected_cert_hash:
    raise SecurityError("憑證不符")
    # 連線失敗，代理伺服器無法攔截

結果：應用程式拒絕透過代理伺服器連線。你會看到連線錯誤而不是成功的攔截。

4. 避免在公司裝置上進行敏感活動

公司管理的裝置已預先安裝公司 CA 憑證。沒有管理員權限，你無法移除它。

公司筆記型電腦：假設一切都被監控
個人筆記型電腦：檢查是否安裝了公司 CA
個人手機：檢查憑證存放區
BYOD 裝置：可能從 MDM 安裝了公司 CA

最佳實務：在不同裝置上完全分離個人和工作活動。

5. 使用端對端加密訊息

某些訊息應用程式提供端對端加密，即使有 SSL 攔截也保持安全。

Signal、WhatsApp、iMessage：

訊息在你的裝置上加密
代理伺服器看到加密的訊息資料，而不是內容
代理伺服器看到中繼資料（你傳訊息給誰、何時、訊息大小）
訊息內容保持私密

重要：代理伺服器仍然看到你正在使用這些應用程式並可以看到中繼資料。只有訊息內容受到保護。

為什麼 Apple 推播通知服務（APNS）阻擋代理伺服器

Apple 推播通知服務設計為使用憑證固定拒絕 SSL 攔截代理伺服器。

APNS 憑證固定如何運作

1. iOS 裝置連線到 APNS (17.0.0.0/8)
2. APNS 呈現憑證
3. iOS 根據固定的 Apple 憑證驗證憑證
4. 如果憑證不符 → 連線失敗
5. 通知停止運作

SSL 攔截時會發生什麼：

1. iOS 裝置嘗試連線到 APNS
2. 公司代理伺服器攔截連線
3. 代理伺服器呈現假憑證（由公司 CA 簽署）
4. iOS 與固定的 Apple 憑證比較
5. 偵測到不符 → 連線被拒絕
6. 結果：推播通知失敗

Apple 為什麼這樣做

安全性：防止對推播通知的中間人攻擊，推播通知可能包含敏感資料。

隱私：確保 Apple——而不是公司代理伺服器——控制通知基礎設施。

完整性：防止篡改通知傳遞。

企業解決方法

使用 SSL 攔截的公司必須將 APNS 加入白名單以允許直接連線：

# 代理伺服器設定：繞過 APNS 的 SSL 攔截
bypass_ssl_interception:
  - 17.0.0.0/8          # APNS IP 範圍
  - *.push.apple.com    # APNS 網域
  - *.courier.push.apple.com

結果：APNS 流量完全繞過代理伺服器，直接連線到 Apple。通知可以運作，但這些流量無法被檢查。

其他阻擋攔截的服務

Google Cloud Messaging (GCM/FCM)：

Android 推播通知
使用憑證固定
需要代理伺服器繞過

Microsoft Teams/Office 365：

某些端點使用憑證固定
需要選擇性繞過才能完整運作

銀行和金融應用程式：

大多數實作憑證固定
無法透過攔截代理伺服器連線

VPN 客戶端：

設計為偵測中間人攻擊
拒絕透過攔截代理伺服器連線

💡 連線失敗表示保護

如果應用程式在公司 WiFi 上無法連線但在行動數據上可以運作，它可能使用憑證固定。這是保護你免受攔截的安全功能。

偵測你網路上的 SSL 攔截

方法 1：憑證簽發者檢查

# 檢查多個熱門網站
for site in google.com facebook.com bank.com github.com; do
  echo "=== $site ==="
  echo | openssl s_client -connect $site:443 2>/dev/null | \
    openssl x509 -noout -issuer -subject
  echo
done

預期：不同的簽發者（Google Trust Services、DigiCert、Let’s Encrypt）

有攔截：全部顯示相同的公司 CA 簽發者

方法 2：瀏覽器憑證檢視器

造訪多個 HTTPS 網站並檢查憑證：

1. 造訪 https://google.com → 檢查簽發者
2. 造訪 https://github.com → 檢查簽發者
3. 造訪 https://bank.com → 檢查簽發者

預期：不同的簽發者
有攔截：全部由公司 CA 簽發

方法 3：檢查受信任的根憑證

Windows：

1. 按 Win+R → certmgr.msc
2. 導覽至：受信任的根憑證授權單位 → 憑證
3. 尋找：公司名稱、「Blue Coat」、「Zscaler」、「Palo Alto」
4. 如果找到：已設定 SSL 攔截

macOS：

1. 開啟：鑰匙圈存取
2. 選擇：系統 → 憑證
3. 尋找：公司 CA 憑證
4. 檢查信任設定：「永遠信任」= 已啟用攔截

Linux：

# 檢查受信任的憑證
ls /etc/ssl/certs/ | grep -i "corporate\|company\|proxy"

# 或檢查特定憑證
openssl x509 -in /etc/ssl/certs/corporate-ca.pem -text -noout

方法 4：線上偵測工具

SSL Labs SSL 測試：

造訪：https://www.ssllabs.com/ssltest/viewMyClient.html
檢查：「憑證簽發者」欄位
預期：標準公共 CA
有攔截：公司 CA 名稱

HowsMySSL：

造訪：https://www.howsmyssl.com/
檢查：憑證資訊
尋找：意外的簽發者或警告

在公司網路上的隱私最佳實務

假設一切都被監控

✓ 所有網頁瀏覽（HTTP 和 HTTPS）
✓ 所有電子郵件（公司和個人網路郵件）
✓ 所有檔案傳輸
✓ 所有即時訊息
✓ 所有視訊通話（中繼資料，可能包括內容）
✓ 所有下載和上傳

心態：如果它經過公司網路，假設它被記錄並可能被檢查。

分離個人和工作活動

工作活動：
- 使用公司筆記型電腦
- 使用公司網路
- 使用公司帳號
- 假設完全監控

個人活動：
- 使用個人裝置
- 使用行動數據或家用網路
- 使用個人帳號
- 完全分離

絕不在公司網路上輸入個人憑證

❌ 不要：在公司筆記型電腦上登入個人銀行
❌ 不要：在公司 WiFi 上檢查個人電子郵件
❌ 不要：使用公司網路線上購物
❌ 不要：在工作時存取醫療記錄

✓ 要：使用個人手機的行動數據
✓ 要：等到回家
✓ 要：在個人裝置上使用 VPN（如果允許）

閱讀你公司的可接受使用政策

要審查的關鍵部分：
- 監控和監視政策
- 隱私期望（通常：沒有）
- 禁止的活動
- 個人使用指南
- 資料保留政策
- 誰有權存取記錄

重要：違反可接受使用政策可能導致解僱，即使該活動是合法的。

使用加密訊息進行敏感通訊

對於敏感的個人通訊：
✓ Signal（端對端加密）
✓ WhatsApp（端對端加密）
✓ iMessage（端對端加密）

避免：
❌ SMS（未加密）
❌ 一般電子郵件（非端對端加密）
❌ Slack/Teams（公司可以存取）

注意：代理伺服器仍然看到中繼資料（誰、何時、訊息大小），但看不到內容。

法律和倫理考量

公司可以合法監控什麼

在大多數司法管轄區，公司可以監控：

✓ 公司擁有的網路上的所有流量
✓ 公司擁有的裝置上的所有活動
✓ 使用公司帳號的所有通訊
✓ 儲存在公司系統上的所有資料

法律依據：公司擁有網路和裝置，員工透過可接受使用政策同意。

員工權利

有限的隱私權：

通常對公司資源沒有隱私期望
某些司法管轄區要求在監控前通知
個人裝置可能有更多保護（BYOD）

要檢查的事項：

- 政策是否要求在監控前通知？
- 監控個人裝置是否有限制？
- 你可以選擇退出 SSL 攔截嗎？
- 保留什麼資料以及保留多久？
- 誰有權存取監控資料？

倫理考量

合法的商業目的：

安全威脅偵測
資料外洩防護
合規監控
頻寬管理

潛在的過度行為：

在休息時間監控個人活動
存取敏感的個人資訊
沒有明確商業理由的監視
保留資料超過必要時間

⚠️ 了解你的權利

隱私法因國家和地區而異。歐盟 GDPR 提供比美國法律更強的保護。諮詢你當地的法規和公司政策以了解你的權利。

IT 管理員應該考慮的事項

透明度和信任

對監控保持透明：

✓ 清楚傳達正在使用 SSL 攔截
✓ 解釋監控什麼以及為什麼
✓ 在可接受使用政策中記錄
✓ 為員工提供培訓
✓ 為個人活動提供替代方案

建立信任：

將監控限制在商業目的
限制對監控資料的存取
實施明確的資料保留政策
盡可能尊重員工隱私

選擇性 SSL 攔截

不要攔截所有內容。將不需要檢查的類別加入白名單：

# 繞過以下項目的 SSL 攔截：
bypass_categories:
  - Healthcare（HIPAA 合規）
  - Financial services（PCI-DSS 合規）
  - Personal email（隱私）
  - Password managers（安全性）
  - Government services（隱私）
  
# 只攔截：
intercept_categories:
  - File sharing（資料外洩防護）
  - Unknown/uncategorized（安全性）
  - High-risk categories（惡意軟體防護）

好處：

減少隱私疑慮
提高效能（減少解密開銷）
避免破壞憑證固定的應用程式
維持員工信任

適當處理敏感資料

✓ 加密監控記錄
✓ 僅限安全團隊存取
✓ 實施稽核記錄（誰存取了什麼）
✓ 自動編輯敏感資料（密碼、信用卡）
✓ 明確的保留政策（90 天後刪除）
✓ 事件回應程序（何時調查）

提供替代方案

✓ 個人裝置使用的訪客 WiFi，不進行 SSL 攔截
✓ 個人活動的行動數據補貼
✓ 明確的休息時間政策（允許個人使用）
✓ 特定使用案例的 VPN 繞過

做出選擇

企業 SSL 攔截是一個強大的安全工具，但它帶來重大的隱私影響。對公司來說，它能夠進行威脅偵測、資料外洩防護和合規監控。對員工來說，這意味著在公司網路上幾乎沒有隱私。

技術本身既不好也不壞——重要的是如何使用它。透明的部署、明確的政策和尊重員工隱私可以建立信任。在沒有通知的情況下進行秘密監視會侵蝕信任，並可能違反法規。

如果你是員工，了解你公司網路上存在什麼監控。檢查憑證簽發者，閱讀可接受使用政策，並在個人裝置上使用行動數據進行個人活動。鎖頭圖示不保證隱私——它只保證加密到第一個攔截點。

如果你是 IT 管理員，平衡安全需求與隱私疑慮。對監控保持透明，實施選擇性攔截，並為個人活動提供替代方案。安全性和隱私並不互斥——它們都是必不可少的。

了解正在監控什麼。理解權衡。對你在公司網路上做什麼做出明智的決定。

Cybersecurity

企業 SSL 攔截如何運作

為什麼你的瀏覽器顯示憑證有效

公司 CA 憑證

憑證驗證流程

檢查真實憑證簽發者

你的公司能看到什麼

HTTPS 請求中的所有內容

即使沒有解密也有中繼資料

記錄的內容

如何保護敏感資訊

1. 使用行動數據進行個人活動

2. 檢查憑證簽發者

3. 使用憑證固定應用程式

4. 避免在公司裝置上進行敏感活動

5. 使用端對端加密訊息

為什麼 Apple 推播通知服務（APNS）阻擋代理伺服器

APNS 憑證固定如何運作

Apple 為什麼這樣做

企業解決方法

其他阻擋攔截的服務

偵測你網路上的 SSL 攔截

方法 1：憑證簽發者檢查

方法 2：瀏覽器憑證檢視器

方法 3：檢查受信任的根憑證

方法 4：線上偵測工具

在公司網路上的隱私最佳實務

假設一切都被監控

分離個人和工作活動

絕不在公司網路上輸入個人憑證

閱讀你公司的可接受使用政策

使用加密訊息進行敏感通訊

法律和倫理考量

公司可以合法監控什麼

員工權利

倫理考量

IT 管理員應該考慮的事項

透明度和信任

選擇性 SSL 攔截

適當處理敏感資料

提供替代方案

做出選擇