Non installare il loro certificato su qualsiasi dispositivo / installazione del sistema operativo che desideri utilizzare per attività private. Una volta fatto, il tuo traffico è soggetto ad attacchi MITM anche se non stai utilizzando la rete del tuo college . Un attacco del genere richiede di avere la chiave privata per il certificato che hai installato, ma in pratica è abbastanza semplice perché questi "prodotti di sicurezza" sono progettati in modo così male, e spesso utilizzano una generazione di chiavi molto debole o una chiave privata fissa che è la stessa per tutte le distribuzioni e disponibili a tutti i loro clienti. In un commento che è stato poi spostato nella chat, TOOGAM ha scritto:

Problema specifico noto sul certificato di questo specifico fornitore "È quindi possibile intercettare il traffico da qualsiasi vittima di un dispositivo Cyberoam con qualsiasi altro dispositivo Cyberoam - o per estrarre la chiave dal dispositivo e importarla in altri dispositivi DPI "

Se non hai bisogno di risorse sulla loro rete, usa semplicemente il wifi tethering sul tuo telefono o ottieni un dongle USB 3G dedicato o simile da utilizzare quando sei nel campus. In alternativa, se il traffico non HTTP non è soggetto al MITM, potresti essere in grado di utilizzare una VPN senza installare il certificato. In questo caso, procurati un provider VPN economico o una VPN sulla tua rete domestica, se ne hai uno.

Se hai bisogno di accedere a risorse che sono disponibili solo dalla rete del campus, installa un altro sistema operativo in un virtuale macchina con la CA MITM installata solo nella VM e utilizza il browser nella VM per accedere a queste risorse.

Una VPN è certamente una buona soluzione, a condizione che non blocchi anche quella.

La soluzione migliore per proteggere la tua privacy, tuttavia, è probabilmente fare del tuo meglio per far annullare questa politica. Questa è una politica di "sicurezza" assolutamente abominevole. È letteralmente un attacco man-in-the-middle incorporato contro tutti nel campus. Se il firewall viene compromesso, l'aggressore può quindi intercettare tutto ciò che chiunque nel campus ha inviato su Internet, comprese password, numeri di carte di credito, ecc.

Si scopre che questi dispositivi sono anche peggio di come sembravano all'inizio . Come ha sottolineato TOOGAM in un commento, le persone del Tor Project hanno scoperto che, almeno nel 2012, tutti questi dispositivi utilizzavano lo stesso certificato CA! Ciò significa che chiunque abbia accesso a uno di questi dispositivi di ispezione approfondita dei pacchetti da Cyberoam o un certificato CA esportato da uno di essi può intercettare il traffico da chiunque abbia installato il certificato CA radice. Anche se questo è stato risolto negli ultimi 3 anni, questo pone un dubbio estremo sulla competenza dei produttori di questo dispositivo per assicurarlo. Questa è una ragione in più per cui non dovresti assolutamente installare questo certificato e dovresti aumentare il supporto per la rimozione di questo dispositivo dal tuo campus il più possibile.

Inoltre, come è stato sottolineato in commenti che da allora sono stati ripuliti, l'uso di questo dispositivo viola i Termini di servizio di quasi tutti i siti web del pianeta perché rivela le tue credenziali di accesso a una terza parte (il college). Ciò significa che non puoi rispettare legalmente sia questa politica che i ToS di quasi tutti i siti web.

Se questo fosse un college pubblico negli Stati Uniti e non rimuovesse immediatamente questo dispositivo, per una falla di sicurezza di questa portata prenderei in seria considerazione l'idea di contattare la mia Cyber ​​Task Force dell'FBI locale, che dovrebbe essere disposto a dare al college una conversazione molto severa. Prendono questo genere di cose molto sul serio e per una buona ragione.

Il tuo college fornisce il servizio di "connessione di rete" in alcune condizioni, una delle quali è la possibilità per gli amministratori di sistema del college di ispezionare tutto il traffico. Sebbene si sia tentati di sconfiggere il ficcanaso di tali amministratori di sistema con qualche espediente tecnico (ad esempio una VPN, come è stato suggerito in un'altra risposta), questo sarebbe un tentativo esplicito di sconfiggere i "sistemi di sicurezza" della rete del college e questo può farti atterrare in un enorme mucchio di guai. La cosa più saggia da fare sarebbe quindi non farlo e utilizzare invece il proprio Internet (ad es. Tramite il telefono personale).

Non utilizzare la loro rete per nulla di personale . Questo è il modo migliore per proteggere la tua privacy da loro.

Se non hai scelta, utilizza una macchina virtuale e installa il certificato sulla macchina virtuale invece che sulla macchina principale. Potrebbe consentirti di proteggere la tua privacy.

Personalmente, ho sempre utilizzato un computer separato per questo tipo di problemi. In nessun modo permetterei a un'azienda o a un istituto scolastico di installare qualcosa sulla mia attrezzatura, a meno che non avessi pianificato di attaccarlo dall'orbita in un secondo momento.

Se ssh non è filtrato, puoi utilizzare ssh per produrre un proxy SOCKS in esecuzione su un tunnel ssh . Non è necessario installare alcun software per farlo funzionare. Non hai bisogno di software VPN. Quanto segue funzionerà su una macchina Linux o un Mac (e probabilmente potrà essere fatto funzionare su Windows):

• Ottieni un account shell (o una VM, ma è esagerato) da qualche parte

• Verifica di poter accedere con ssh dall'esterno dell'istituto e accetta la chiave host (all'esterno dell'istituto per assicurarti non stanno MTiM'ing ssh - improbabile)

• In un terminale ssh -D 8080 -N nomeutente@host.name. qui (nota che sembrerà bloccato)

• Ora usa 127.0.0.1:8080 come proxy SOCKS

Una volta che funziona, puoi (facoltativamente) utilizzare autossh al posto di ssh e manterrà il tunnel attivo - probabilmente lo farai è necessario installarlo.

Istruzioni di Windows non testate (che richiedono il download di PuTTY) qui.

Il motivo per cui funziona è che il tuo traffico HTTPS non scorre più sulla porta 443. Scorre (nuovamente crittografata) sulla porta 22. Presumendo che non siano inter eccetto il protocollo ssh . E se lo sono, puoi dirlo. Il tuo traffico è simile al traffico ssh (perché è traffico ssh ), anche se un'analisi dettagliata del traffico potrebbe suggerire che si tratta di traffico ssh che trasporta richieste web proxy. Pertanto non è immediatamente identificabile come traffico VPN. Inoltre, è probabile che la tua università non blocchi il traffico ssh poiché verrà utilizzato dagli studenti di informatica.

Un percorso alternativo potrebbe essere quello di collegarsi al tuo telefono cellulare e utilizzare un piano dati .

Leggi le T&C.

Verifica se ti è consentito utilizzare una VPN (alcuni protocolli potrebbero essere vietati, anche le VPN potrebbero esserlo).

Se lo sei, usa una VPN e non connettersi mai a nessun sito direttamente tramite la loro rete. (A meno che non si utilizzi il pinning del certificato, ma è probabile che la connessione non riesca perché il certificato non corrisponde). Tabelle di instradamento precise possono aiutarti in questo. Potresti anche non dover installare il certificato (potresti averne bisogno per installare il certificato per accedere a qualcosa quando ti connetti alla rete, però).

Se lo sei non è permesso, beh ...

• Non installare il certificato su nessun computer che usi per cose personali. Usa una macchina diversa o una VM. Non fare mai nulla di personale su quel computer / VM.
• Parlane con gli altri studenti. Aumenta la consapevolezza su questo problema intorno a te.
• Porta la questione all'autorità competente. Può essere chiesto su http://law.stackexchange.com per un consiglio sulla possibilità di protestare contro questo.

Non fare nulla contro i T&C, questo è il modo migliore per essere semplicemente banditi dalla rete o peggio.

Non utilizzare la rete.

Questa è praticamente la tua unica opzione. Qualsiasi tentativo di aggirare le loro misure di "sicurezza" verrebbe molto probabilmente considerato "accesso non autorizzato" ai sensi della CFAA (assumendo la giurisdizione degli Stati Uniti) e potrebbe comportare molti anni di reclusione.

Potresti provare a portarli a corte, ma le tue possibilità sono piuttosto scarse. Le istituzioni pubbliche e private eseguono questo tipo di monitoraggio e intercettazione della rete da molti anni senza incorrere in conflitti con la legge.

ci costringe a installare il certificato SSL Cyberoam Firewall in modo che possano visualizzare tutto il traffico crittografato per "migliorare la nostra sicurezza".

Anche il malware viene inviato tramite HTTPS, quindi probabilmente è davvero loro intenzione migliorare la sicurezza analizzando il traffico crittografato per malware. Se vogliono solo bloccare l'accesso ad alcuni siti, probabilmente potrebbero farlo senza l'intercettazione SSL.

L'intercettazione SSL è molto comune nelle aziende esattamente per lo stesso motivo, ovvero per proteggere l'azienda dal malware.

Usare una VPN sarà sufficiente per nascondere tutto il mio traffico o ci sono altri modi?

Dipende dalla loro configurazione di rete. Se sono abbastanza intelligenti bloccheranno l'uso della VPN, ecc. E immagino che proibiscano esplicitamente di aggirare il firewall utilizzando tali tecnologie, perché questo significa aggirare la protezione e rendere la rete meno sicura. Quindi aspettati di perdere la connessione di rete se usi una VPN.

Se non installo il certificato non sarò in grado di utilizzare la loro rete.

Se sei il proprietario della rete, ci sono abbastanza modi per attaccare il computer o invadere la privacy degli utenti, anche senza l'uso dell'intercettazione SSL. Se non ti fidi di loro, non usare la loro rete, indipendentemente dal fatto che utilizzino o meno l'intercettazione SSL.

Come potrebbero verificare se hai o non hai installato il loro certificato SSL? Stanno anche eseguendo software sulla tua macchina locale? Altrimenti penserei che gli effetti negativi sarebbero solo il fatto che tu debba affrontare molti errori di certificato da parte tua.

Quello che farei se fossi in te è dual-boot o virtualizzare. Tieni il tuo sistema operativo non sicuro dove installi tutti i loro "strumenti di sicurezza" e certificati e (e non usare nulla che non vuoi che qualcuno veda), quindi quando vuoi la privacy, torna indietro al tuo sistema operativo protetto. Se vivi nel campus e utilizzerai praticamente sempre la loro rete, assicurati che il tuo sistema operativo sicuro utilizzi una VPN per impostazione predefinita, che dovrebbe aggirare i loro requisiti. Ci sono modi in cui possono notarlo, ma puoi sempre dire loro che hai un lavoro o qualcosa del genere e che ne hai bisogno per lavoro, e potrebbero crederti e lasciarti in pace.

In alternativa, direi di avere un hotspot cellulare. Ma so che quando ero al college non potevo permettermi il tipo di piano dati di cui avrei avuto bisogno.

Soluzione proposta: utilizza una macchina virtuale con il certificato installato quando desideri utilizzare la loro rete. In questo modo ti sarà molto chiaro quando utilizzi la loro rete e quando non lo sei. È inoltre possibile eliminare la VM quando non è più necessario utilizzare la loro rete.

Non aggirare il firewall. Alcune altre risposte hanno già coperto le opzioni tecniche, ma questo è sconsigliabile: tutti i prodotti di filtraggio che ho visto bloccheranno il bypass o lo consentiranno ma notificheranno amministratore, che ti metterà nei guai. Può sembrare un trucco intelligente per fare qualcosa che non ti è permesso fare, ma le autorità ti calpesteranno - bandendoti dalla rete, il che renderà difficili i tuoi studi, o espellendoti dal college. In ogni caso, il potenziale impatto sulla tua vita a lungo termine non vale il guadagno a breve termine di una connessione Internet non filtrata al college.

L'unica vera opzione tecnica è utilizzare la tua connessione Internet tramite 3G tecnologia mobile o simile. È possibile installare un proxy locale e instradare le connessioni HTTPS sul collegamento 3G e tutto il resto sulla rete del college.

L'intercettazione SSL da parte dei filtri Internet negli istituti di istruzione sta diventando una pratica diffusa. Se vuoi prendere posizione contro questo, esamina le tue opzioni legali. In molte giurisdizioni, l'intercettazione di comunicazioni private senza il consenso di entrambe le parti costituisce una violazione della legge sulle intercettazioni telefoniche. Anche se l'argomento sostiene che hai volontariamente acconsentito all'intercettazione installando il certificato SSL, è certamente il caso che il sito web remoto non lo abbia fatto. Per quanto ne so, nessuno studente ha mai contestato l'intercettazione SSL su questa base, ma qualcuno deve essere il primo. Una volta mi è stato detto dal personale senior di una società di filtraggio che se l'intercettazione SSL è illegale, non è un loro problema - è il loro cliente che sta infrangendo la legge - e devono offrirlo come opzione altrimenti perderanno le vendite.

La sicurezza su questi filtri / firewall Internet è spesso spaventosamente pessima:

• Alcuni usano lo stesso certificato SSL per tutti i loro clienti. Banale da estrarre con accesso amministratore o fisico. Se un firewall è compromesso, ogni firewall lo è.

• Utilizzo di vecchi software con vulnerabilità di sicurezza note. Conosco un fornitore commerciale con una linea di prodotti attuale basata su software rilasciata nel 2004. Se puoi ottenere l'accesso utente, l'accesso root è banale.

• Accesso remoto non sicuro. I team di supporto in genere utilizzano la stessa password di installazione e manutenzione remota per tutti i clienti. Un utente malintenzionato che sa che la password può accedere in remoto a qualsiasi sistema del cliente.

• Esiste una "lista bianca" di siti su cui non dovrebbe essere eseguita l'intercettazione SSL (ad esempio banche). Tuttavia, se hai accesso al sistema, è banale modificare il software per ignorare o eliminare la lista bianca.

• Conosco almeno un caso in cui un aggressore esterno è riuscito per ottenere l'accesso al server di sviluppo che contiene il codice sorgente di un importante prodotto firewall. Lo sviluppatore principale mi ha detto: "non abbiamo idea di quanto siano arrivati ​​nella rete interna o di cosa abbiano fatto una volta entrati."

Il messaggio da portare a casa è che questi dispositivi sono abbastanza vulnerabili a un determinato hacker e, una volta ottenuto l'accesso, potrebbero banalmente intercettare ogni password di ogni connessione SSL di centinaia di migliaia di utenti. Sono sorpreso che non abbiamo ancora sentito nulla su questo tipo di attacco in corso, ma forse lo ha già fatto e gli hacker sono troppo occupati a svuotare i conti bancari per vantarsene. La conoscenza pubblica di un simile attacco sarebbe estremamente dannosa per qualsiasi fornitore di firewall / filtri e farebbero tutto il possibile per nasconderlo.

Aggiornamento dicembre 2015 : Backdoor trovate nel firewall Juniper, presente dal 2012.

Puoi utilizzare il loro certificato e, in aggiunta, una VPN.

Puoi creare una tabella di routing personalizzata, instradando tutto tranne il traffico di rete interno attraverso la VPN. In questo modo possono solo decrittografare le connessioni tra te e i sistemi sulla rete del college. Tutto il resto verrà instradato tramite la tua connessione VPN e sarà al sicuro.

Ma l'utilizzo di una VPN farà sì che tutto il tuo traffico venga indirizzato a un singolo server (il tuo provider VPN) e sembrerà sicuramente molto sospetto su i registri. Se il tuo college non consente le connessioni VPN, è meglio non usarne una o usarla solo per attività specifiche (come il controllo della posta elettronica, ad esempio). Usare FoxyProxy su Firefox può aiutarti in questo.

Credo che tu possa utilizzare in sicurezza un dispositivo Chrome OS, con un account Google "scolastico" dedicato che utilizzi esclusivamente per l'accesso alla rete della scuola. Il passaggio a un altro account (ad esempio il tuo account personale) non utilizzerà più il certificato della scuola o le impostazioni di quell'utente e Chrome OS è progettato per isolare in modo sicuro gli account.

Questo articolo della guida (scritto per gli amministratori di dominio, non per gli utenti) afferma che ciò è possibile e rileva inoltre che si applica solo mentre l'utente del dominio è connesso.

Ho cercato un modo per utilizzare Tor su HTTP (senza il comando proxy CONNECT ) quando ho letto per la prima volta la tua domanda, ma tutte le risposte precedenti dicevano che al momento era impossibile (ho trovato solo una proposta del 2013 che non è mai arrivato da nessuna parte). Ora mi sono imbattuto in questo, non sono sicuro che sia ciò di cui hai bisogno, ma sembra proprio così:

https://trac.torproject.org/projects/tor/wiki/doc/meek

meek è un trasporto collegabile che utilizza HTTP per trasportare byte e TLS per offuscare