N'installez pas leur certificat sur une installation de périphérique / système d'exploitation que vous souhaitez utiliser pour une activité privée. Une fois que vous le faites, votre trafic est soumis à des attaques MITM même si vous n'utilisez pas le réseau de votre collège . Une telle attaque nécessite d'avoir la clé privée du certificat que vous avez installé, mais en pratique, c'est assez facile car ces «produits de sécurité» sont si mal conçus, et utilisent souvent soit une génération de clé très faible, soit une clé privée fixe qui est la même pour tous les déploiements et disponibles pour l'un de leurs clients. Dans un commentaire qui a depuis été déplacé vers le chat, TOOGAM a écrit:

Problème spécifique connu à propos du certificat de ce fournisseur spécifique "Il est donc possible d'intercepter le trafic de toute victime de un appareil Cyberoam avec n'importe quel autre appareil Cyberoam - ou pour extraire la clé de l'appareil et l'importer dans d'autres appareils DPI "

Si vous n'avez pas besoin de ressources sur leur réseau, utilisez simplement le wifi partage de connexion sur votre téléphone ou obtenez un dongle USB 3G dédié ou similaire à utiliser lorsque vous êtes sur le campus. Sinon, si le trafic non HTTP n'est pas soumis au MITM, vous pourrez peut-être utiliser un VPN sans installer le certificat. Dans ce cas, procurez-vous simplement un fournisseur VPN ou un VPN bon marché sur votre réseau domestique si vous en avez un.

Si vous avez besoin d'accéder à des ressources qui ne sont disponibles que sur le réseau du campus, installez un autre système d'exploitation dans machine avec le MITM CA installé uniquement dans la VM, et utilisez le navigateur de la VM pour accéder à ces ressources.

Un VPN est certainement une bonne solution, à condition qu'il ne le bloque pas non plus.

La meilleure solution pour protéger votre vie privée, cependant, est probablement de faire de votre mieux pour faire annuler cette politique. C'est une politique de «sécurité» absolument odieuse. C'est littéralement une attaque intégrée de l'homme du milieu contre tout le monde sur le campus. Si leur pare-feu est compromis, l'attaquant peut alors intercepter tout ce que n'importe qui sur le campus a envoyé sur Internet, y compris les mots de passe, les numéros de carte de crédit, etc.

Il s'avère que ces appareils sont encore pires qu'ils ne l'avaient semblé au départ . Comme TOOGAM l'a souligné dans un commentaire, les membres du projet Tor ont constaté qu'au moins à partir de 2012, tous ces appareils utilisaient le même certificat CA! Cela signifie que toute personne ayant accès à l'un de ces dispositifs d'inspection approfondie des paquets à partir de Cyberoam ou à un certificat CA exporté depuis l'un d'entre eux peut intercepter le trafic provenant de toute personne disposant de ce certificat CA racine. Même si cela a été remédié au cours des 3 dernières années, cela jette un doute extrême sur la compétence des fabricants de cet appareil pour le sécuriser. C'est une raison de plus pour laquelle vous ne devriez absolument pas installer ce certificat et vous devriez obtenir autant de soutien que possible pour la suppression de cet appareil de votre campus.

De plus, comme cela a été souligné dans commentaires qui ont depuis été nettoyés, l'utilisation de cet appareil enfreint les conditions d'utilisation de presque tous les sites Web de la planète car il divulgue vos informations de connexion à un tiers (le collège.) Cela signifie que vous ne pouvez pas légalement respecter à la fois cette politique et les conditions d'utilisation de presque tous les sites Web.

S'il s'agissait d'un collège public aux États-Unis et qu'ils ne supprimaient pas cet appareil immédiatement, pour une faille de sécurité de cette ampleur, j'envisagerais vivement de contacter mon FBI Cyber ​​Task Force, qui être prêt à donner au collège une discussion très sévère. Ils prennent ce genre de choses très au sérieux et pour une bonne raison.

Votre collège fournit le service de "connexion réseau" sous certaines conditions, l'une d'entre elles étant la possibilité pour les administrateurs système du collège d'inspecter tout le trafic. Bien qu'il soit tentant de vaincre la curiosité de ces administrateurs système avec un gadget technique (par exemple un VPN, comme cela a été suggéré dans une autre réponse), ce serait une tentative explicite de vaincre les «systèmes de sécurité» du réseau universitaire et cela peut vous amener dans un énorme tas de problèmes. Le plan d'action le plus sage serait alors de ne pas faire cela, et d'utiliser à la place votre propre Internet (par exemple via votre téléphone personnel).

N'utilisez pas leur réseau pour quelque chose de personnel . C'est la meilleure façon de protéger votre vie privée contre eux.

Si vous n'avez pas le choix, utilisez une machine virtuelle et installez le certificat sur la machine virtuelle au lieu de votre machine principale. Cela peut vous permettre de protéger votre vie privée.

Personnellement, j'ai toujours utilisé un ordinateur séparé pour ce genre de problèmes. En aucun cas, je n'autoriserais une entreprise / un établissement d'enseignement à installer quoi que ce soit sur mon propre équipement, sauf si je prévoyais de le retirer de l'orbite plus tard.

Si ssh n'est pas filtré, vous pouvez utiliser ssh pour produire un proxy SOCKS fonctionnant sur un tunnel ssh . Vous n'avez pas besoin d'installer de logiciel pour que cela fonctionne. Vous n'avez pas besoin de logiciel VPN. Ce qui suit fonctionnera sur une machine Linux ou un Mac (et peut probablement fonctionner sous Windows):

• Obtenez un compte shell (ou une VM, mais c'est sur le dessus) quelque part

• Vérifiez que vous pouvez vous y connecter avec ssh depuis l'extérieur de votre institution et accepter la clé d'hôte (en dehors de l'institution pour vous assurer ils ne sont pas MTiM'ing ssh - peu probable)

• Dans un terminal ssh -D 8080 -N username@host.name. ici (notez que cela semble se bloquer)

• Utilisez maintenant 127.0.0.1:8080 comme proxy SOCKS

Une fois que cela fonctionne, vous pouvez (facultativement) utiliser autossh à la place de ssh et cela maintiendra le tunnel - vous le serez probablement besoin de l'installer.

Instructions Windows non testées (nécessitant le téléchargement de PuTTY) ici.

La raison pour laquelle cela fonctionne est que votre trafic HTTPS ne circule plus sur le port 443. Il circule (rechiffré) sur le port 22. Par hypothèse, ils ne sont pas inter cepting le protocole ssh . Et s'ils le sont, vous pouvez le dire. Votre trafic ressemble au trafic ssh (car il s'agit du trafic ssh ) - bien qu'une analyse détaillée du trafic puisse suggérer qu'il s'agit d'un trafic ssh transportant des requêtes Web mandatées. Il n'est donc pas immédiatement identifiable comme trafic VPN. De plus, votre université ne bloquera probablement pas le trafic ssh car il sera utilisé par les étudiants CS.

Un autre moyen serait de vous connecter à votre téléphone portable et d'utiliser un plan de données .

Lisez les T&C.

Vérifiez si vous êtes autorisé à utiliser un VPN (certains protocoles peuvent être interdits, les VPN peuvent l'être aussi).

Si vous l'êtes, utilisez un VPN, et ne vous connectez jamais à aucun site directement via leur réseau. (À moins que vous n'utilisiez l'épinglage de certificat, mais que la connexion échouera probablement car le certificat ne correspondra pas). Des tables de routage précises peuvent vous aider avec cela. Vous n'aurez peut-être même pas besoin d'installer le certificat (vous en aurez peut-être besoin pour installer le certificat pour vous connecter à quelque chose lorsque vous vous connectez au réseau).

Si vous êtes pas autorisé à, eh bien ...

• N'installez pas le certificat sur un ordinateur que vous utilisez à des fins personnelles. Utilisez une autre machine ou une machine virtuelle. Ne faites jamais rien de personnel sur cet ordinateur / VM.
• Parlez-en avec vos camarades. Sensibilisez votre entourage à ce problème.
• Portez l'affaire devant l'autorité compétente. Vous pouvez demander des conseils sur http://law.stackexchange.com pour savoir si vous pouvez protester contre cela.

Ne faites rien contre les T&C, c'est la meilleure façon d'être simplement banni du réseau, ou pire.

N'utilisez pas le réseau.

C'est à peu près votre seule option. Toute tentative de contourner leurs mesures de "sécurité" serait très probablement considérée comme un "accès non autorisé" en vertu de la CFAA (sous la juridiction des États-Unis) et pourrait entraîner de nombreuses années de prison.

court, mais vos chances sont plutôt minces. Les institutions publiques et privées font ce type de surveillance et d'interception du réseau depuis de nombreuses années sans enfreindre la loi.

nous oblige à installer le certificat SSL Cyberoam Firewall afin qu'ils puissent voir tout le trafic crypté pour "améliorer notre sécurité".

Les logiciels malveillants sont également envoyés via HTTPS, donc il est probablement vraiment leur intention d'améliorer la sécurité en analysant le trafic crypté pour les logiciels malveillants. S'ils veulent juste bloquer l'accès à certains sites, ils pourraient probablement le faire sans interception SSL.

L'interception SSL est très courante dans les entreprises pour exactement la même raison, c'est-à-dire pour protéger l'entreprise contre les logiciels malveillants.

L'utilisation d'un VPN suffira-t-elle à masquer tout mon trafic ou existe-t-il d'autres moyens?

Cela dépend de la configuration de leur réseau. S'ils sont assez intelligents, ils bloquent l'utilisation du VPN, etc. Et j'imagine qu'ils interdisent explicitement de contourner le pare-feu en utilisant de telles technologies, car cela signifie contourner la protection et rendre le réseau moins sécurisé. Attendez-vous donc à perdre la connexion réseau si vous utilisez un VPN.

Si je n'installe pas le certificat, je ne pourrai pas utiliser leur réseau.

Si vous possédez le réseau, il existe suffisamment de moyens pour attaquer l'ordinateur ou envahir la vie privée des utilisateurs, même sans l'utilisation de l'interception SSL. Si vous ne leur faites pas confiance, n'utilisez pas leur réseau, qu'ils utilisent ou non l'interception SSL.

Comment pourraient-ils vérifier si vous avez ou non installé leur certificat SSL? Exécutent-ils également des logiciels sur votre ordinateur local? Sinon, je penserais que les effets indésirables seraient simplement que vous ayez à gérer de nombreuses erreurs de certificat de votre côté.

Ce que je ferais si j'étais vous, c'est soit le dual-boot, soit la virtualisation. Ayez votre système d'exploitation dangereux sur lequel vous installez tous leurs «outils de sécurité» et certificats et (et n'utilisez rien que vous ne voulez pas que quelqu'un voie), puis, lorsque vous voulez la confidentialité, revenez en arrière à votre système d'exploitation sécurisé. Si vous vivez sur le campus et que vous utiliserez presque toujours leur réseau, il vous suffit de demander à votre système d'exploitation sécurisé d'utiliser un VPN par défaut, ce qui devrait contourner leurs exigences. Il y a des façons dont ils peuvent le remarquer, mais vous pouvez toujours leur dire que vous avez un travail ou quelque chose et que vous en avez besoin pour travailler, et ils pourraient vous croire et vous laisser tranquille.

Sinon, je dirais hotspot cellulaire. Mais je sais que lorsque j'étais à l'université, je ne pouvais pas me permettre le type de forfait de données dont j'avais besoin.

Solution proposée: utilisez une machine virtuelle avec le certificat installé lorsque vous souhaitez utiliser leur réseau. De cette façon, vous serez très clair quand vous utilisez leur réseau et quand vous ne l'utilisez pas. Vous pouvez également supprimer la VM lorsque vous n'avez plus besoin d'utiliser son réseau.

Ne contournez pas le pare-feu. D'autres réponses ont déjà couvert les options techniques, mais cela est déconseillé - tous les produits de filtrage que j'ai vus bloqueront le contournement, ou l'autoriseront mais notifieront un administrateur, ce qui vous causera des ennuis. Cela peut sembler une astuce intelligente de faire quelque chose que vous n'êtes pas autorisé à faire, mais les autorités vous piétineront - soit en vous interdisant du réseau, ce qui rendra vos études difficiles, ou en vous expulsant du collège. Quoi qu'il en soit, l'impact potentiel sur votre vie à long terme ne vaut pas le gain à court terme d'avoir une connexion Internet non filtrée à l'université.

La seule vraie option technique est d'utiliser votre propre connexion Internet via une 3G technologie mobile ou similaire. Vous pouvez installer un proxy local et acheminer vos connexions HTTPS via la liaison 3G, et tout le reste via le réseau universitaire.

L'interception SSL par des filtres Internet dans les établissements d'enseignement est en train de devenir une pratique répandue. Si vous souhaitez prendre position contre cela, examinez vos options juridiques. Dans de nombreuses juridictions, l'interception de communications privées sans le consentement des deux parties constitue une violation de la loi sur l'écoute électronique. Même si l'argument soutient que vous avez volontairement consenti à l'interception en installant le certificat SSL, il est certainement vrai que le site Web distant ne l'a pas fait. Pour autant que je sache, aucun étudiant n'a jamais contesté l'interception SSL sur cette base, mais quelqu'un doit être le premier. Des cadres supérieurs d'une entreprise de filtrage m'ont dit une fois que si l'interception SSL est illégale, ce n'est pas leur problème - c'est leur client qui enfreint la loi - et ils doivent l'offrir en option, sinon ils perdront des ventes.

La sécurité de ces filtres / pare-feu Internet est souvent terriblement mauvaise:

• Certains utilisent le même certificat SSL pour tous leurs clients. Trivial à extraire avec un accès administrateur ou physique. Si un pare-feu est compromis, chaque pare-feu l'est.

• Utilisation d'anciens logiciels présentant des vulnérabilités de sécurité connues. Je connais un fournisseur commercial avec une gamme de produits actuelle basée sur un logiciel sorti en 2004. Si vous pouvez obtenir un accès utilisateur, l'accès root est trivial.

• Accès à distance non sécurisé. Les équipes de support utilisent généralement le même mot de passe d'installation et de maintenance à distance pour tous les clients. Un attaquant qui sait que ce mot de passe peut accéder à distance à n'importe quel système client.

• Il existe une «liste blanche» de sites sur lesquels l'interception SSL n'est pas censée être effectuée (comme les principaux banques). Cependant, si vous avez accès au système, il est trivial de modifier le logiciel pour ignorer ou supprimer la liste blanche.

• Je connais au moins un cas où un attaquant externe a géré pour accéder au serveur de développement contenant le code source d'un produit de pare-feu majeur. Le développeur principal m'a dit: "nous ne savons pas jusqu'où ils sont arrivés dans le réseau interne, ni ce qu'ils ont fait une fois qu'ils y étaient."

Le message à retenir est que ces appareils sont assez vulnérables à un pirate informatique déterminé, et une fois que l'accès est obtenu, ils pourraient intercepter trivialement chaque mot de passe de chaque connexion SSL de centaines de milliers d'utilisateurs. Je suis surpris que nous n'ayons pas encore entendu parler de ce genre d'attaque, mais peut-être que c'est déjà le cas et les pirates sont trop occupés à vider les comptes bancaires pour s'en vanter. La connaissance publique d'une telle attaque serait extrêmement dommageable pour tout fournisseur de pare-feu / filtre, et ils feraient tout ce qu'ils pourraient pour la dissimuler.

Mise à jour de décembre 2015 : Portes dérobées trouvées dans le pare-feu Juniper, présent depuis 2012.

Vous pouvez utiliser leur certificat, et utiliser un VPN en plus.

Vous pouvez créer une table de routage personnalisée, acheminant tout sauf le trafic réseau interne via le VPN. De cette façon, ils ne peuvent déchiffrer que les connexions entre vous et les systèmes du réseau universitaire. Tout le reste sera acheminé via votre connexion VPN et sera sécurisé.

Mais l'utilisation d'un VPN fera que tout votre trafic sera dirigé vers un seul serveur (votre fournisseur VPN), et semblera sûrement très suspect sur les journaux. Si votre université n'autorise pas les connexions VPN, il est préférable de ne pas en utiliser une ou de l'utiliser uniquement pour des tâches spécifiques (comme la vérification des e-mails, par exemple). Utiliser FoxyProxy sur Firefox peut vous aider.

Je pense que vous pouvez utiliser en toute sécurité un appareil Chrome OS, avec un compte Google "école" dédié que vous utilisez uniquement pour accéder au réseau de l'école. Le passage à un autre compte (par exemple, votre compte personnel) n'utilisera plus le certificat de l'école ni aucun des paramètres de cet utilisateur, et Chrome OS est conçu pour isoler les comptes en toute sécurité.

Cet article d'aide un> (écrit pour les administrateurs de domaine, pas pour les utilisateurs) mentionne que cela est possible, et note également que cela ne s'applique que lorsque l'utilisateur du domaine est connecté.

J'ai cherché un moyen d'utiliser Tor sur HTTP (sans la commande proxy CONNECT ) lorsque j'ai lu votre question pour la première fois, mais les réponses plus anciennes disaient toutes que c'était actuellement impossible (je n'ai trouvé qu'une seule proposition de 2013 qui n’a jamais abouti). Maintenant, je suis juste tombé dessus, je ne suis pas sûr que ce soit ce dont vous avez besoin, mais cela y ressemble totalement:

https://trac.torproject.org/projects/tor/wiki/doc/meek

meek est un transport enfichable qui utilise HTTP pour transporter des octets et TLS pour l'obscurcissement