Приветствую! Подскажите в вопросе. На одном из вебинаров от Zyxel я спросил "А как flex, atp и т.п. анализируют трафик на угрозы, если используется https?", на что получил ответ "Перехватываются ключи" ну или что-то в этом духе. А как такое в принципе возможно? Ведь сервер и клиент обмениваются только открытыми ключами. Или я чего-то не понимаю?
Предположу, что фаервол становится посредником, прокси сервером для перехвата https, но для этого нужно добавить корневой сертификат созданный самим фаерволом в хранилище доверенных сертификатов, иначе работать не будет. В таком случае от вашего имени все сессии будут подниматься самим фаерволом и поэтому он будет видеть содержимое пакетов, а потом передавать их вам, если пакет не опасен.
А так, не всегда есть необходимость лезть в https, бывает достаточно IP, портов, т.е. эвристика происходит на основе анализа заголовков.
Контент фильтру например вообще до лампочки на https, так как там динамическая облачная база URL адресов, он смотрит на URL, если он "плохой", то и ходить туда не надо.
А сигнатуры угроз например определяются еще до установления TLS сессии. Торчит например у вас сервис на 443 порту, снаружи начинает кто то ломится, TLS еще не установлен, но если в пакете есть что то не нормальное и сигнатура данного пакета есть в базе, то этого достаточно, что бы определить вектор угрозы и отбросить пакет.