第231篇：SSL 解密与加密流量检测

关键词：SSL解密、TLS解密、中间人检测、SSL Inspection、加密流量检测、证书管理、证书固定

一、引言

如第230篇DLP所述，网络侧DLP需要对HTTP/HTTPS流量做深度内容检测。然而，当前互联网流量中超过95%已通过TLS加密。加密流量成为安全检测的"黑箱"：恶意软件下载、数据外泄、C2通信全部隐藏在HTTPS隧道中，传统基于特征匹配的安全设备束手无策。

SSL解密（SSL Inspection/Decryption）技术通过让防火墙充当"中间人"（MITM），对加密流量进行拦截、解密、检测、再加密，使NGFW恢复对HTTPS流量的深度检测能力。这是实现DLP加密流量检测的前提条件。

二、核心概念

2.1 SSL解密的工作原理

SSL解密在客户端与目标服务器之间插入防火墙，建立两条独立的TLS会话：

前端连接中，客户端收到的证书由防火墙CA签发，证书Common Name与目标域名一致。只要客户端信任防火墙CA根证书，TLS握手即可正常完成，用户无感知。

2.2 SSL解密的模式对比

2.3 TLS版本与加密套件演进

TLS 1.3 的0-RTT和PSK机制减少了握手时延，但对SSL解密影响较大：0-RTT模式下客户端在握手完成前即可发送应用数据，防火墙难以在第一时间插入。

2.4 SSL解密的三种代理类型

2.5 证书管理部署流程

SSL解密的核心是企业CA证书的管理：

# 证书导出后通过组策略部署（Windows）
# gpedit.msc → 计算机配置 → 策略 → 控制台根节点 →
# Windows 设置 → 安全设置 → 公钥策略 →
# 受信任的根证书颁发机构 → 导入 .crt 文件

# macOS 通过 MDM（Jamf/Intune）推送配置文件
# Android 通过企业策略或自定义系统镜像安装

2.6 SSL解密范围控制策略

不应解密所有流量——需考虑隐私合规和性能开销：

三、技术细节

3.1 SSL解密完整交互流程

3.2 证书固定（Certificate Pinning）的挑战

证书固定是一种客户端安全机制，用于防止中间人攻击。客户端硬编码可信证书公钥或哈希，拒绝接受非预期证书。

3.3 加密流量检测技术栈

3.4 ECH（加密ClientHello）的挑战

ECH（Encrypted Client Hello）是TLS 1.3的扩展，将ClientHello中的敏感信息（包括SNI）加密传输：

ECH的推广将使基于SNI的SSL解密策略完全失效。防火墙只能采取"全部解密"或"全部不解密"的二选一策略，大幅增加性能开销或降低安全检测覆盖。

3.5 合规与隐私要求

SSL解密涉及敏感法律问题，不同法规有不同要求：

四、实战配置/案例分析

4.1 华为USG6000E SSL解密配置

# 1. 创建本地CA密钥和证书
pki local-key-pair usg-ca-key rsa 2048
quit

pki peer usg-ca
 encryption rsa
 public-key local usg-ca-key
 certificate self-issuance
  common-name "Huawei-USG-Root-CA"
  organization "Company Security Dept"
  validity 3650
  country cn
  province guangdong
  city shenzhen
 quit
quit

# 2. 配置SSL解密配置文件
ssl-profile decrypt-all
 # 启用SSL解密
 ssl decryption enable

 # 全面解密模式
 decryption-mode comprehensive

 # 最小TLS版本
 min-tls-version tls-v1.2

 # 解密白名单（不解密的域名）
 whitelist-domain *.bankofchina.com
 whitelist-domain *.alipay.com
 whitelist-domain *.payPal.com
 whitelist-domain *.apple.com
 whitelist-domain *.microsoft.com

 # 证书固定域名白名单
 whitelist-cert-pinning *.google.com
 whitelist-cert-pinning *.facebook.com

 # 仅SNI检测的域名（不解密但记录域名）
 sni-only-domain *.iot-platform.com

quit

# 3. 在安全策略中应用SSL解密
security-policy
 rule name SSL_Decompress_Trust_Untrust
  source-zone trust
  destination-zone untrust
  source-address internal-users
  service https
  action permit
  ssl-policy decrypt-all
  # 解密后进行IPS检测
  detect-policy ips-default
  # 解密后进行DLP检测（配合第230篇DLP配置）
  dlp-profile sensitive-data
 quit
quit

# 4. 导出CA证书（部署到终端）
display pki certificate usg-ca
# 通过AD组策略部署：
# gpedit → 计算机配置 → 策略 → 控制台根节点 →
# Windows设置 → 安全设置 → 公钥策略 →
# 受信任的根证书颁发机构

4.2 故障排查案例1：银行网站证书告警

故障现象：启用SSL解密后，用户访问网银时浏览器提示"NET::ERR_CERT_AUTHORITY_INVALID"，部分APP直接闪退。

排查步骤：

1. 查看SSL解密日志

display ssl-session statistics
display ssl-session log recent

日志显示银行网站和某金融APP的TLS握手被防火墙拦截。

1. 分析根因 银行网站使用了HSTS+证书固定，金融APP内嵌了TrustManager。防火墙的中间人证书被客户端拒绝。

2. 解决方案

# 将银行和金融APP域名加入白名单
ssl-profile decrypt-all
 whitelist-domain *.cmbchina.com
 whitelist-domain *.cebbank.com
 whitelist-domain *.ccb.com
 whitelist-domain *.icbc.com.cn
 whitelist-cert-pinning *.cmbchina.com
 quit
quit

4.3 故障排查案例2：SSL解密性能瓶颈

故障现象：部署SSL解密后，全网HTTPS访问延迟从200ms增加到2秒以上，部分视频流媒体卡顿。

排查步骤：

1. 检查防火墙CPU和SSL吞吐

display device
display ssl statistics

CPU利用率95%，SSL解密会话数达到设备规格上限。

1. 分析原因 全量解密模式对全部HTTPS流量进行加解密运算，且未启用硬件加速。视频流和下载流量被无效解密，浪费性能。

2. 解决方案

# 方案1：对白名单域名仅做SNI检测，不解密
ssl-profile decrypt-all
 # 流媒体/CDN域名仅SNI
 sni-only-domain *.youtube.com
 sni-only-domain *.netflix.com
 sni-only-domain *.akamai.net
 sni-only-domain *.cloudfront.net
 # 大型文件下载域名不解密
 sni-only-domain *.download.com
 quit
quit

# 方案2：基于用户/应用分类差异化解密
security-policy
 # 仅对办公用户的Web浏览解密
 rule name SSL_Selective_Decrypt
  source-zone trust
  destination-zone untrust
  source-user-group office-users
  application-category web-browsing
  service https
  action permit
  ssl-policy decrypt-all
 quit
 # 其他用户仅SNI检测
 rule name SSL_SNI_Only
  source-zone trust
  destination-zone untrust
  service https
  action permit
  ssl-policy sni-only-policy
 quit
quit

五、SSL解密纵深防御架构设计

5.1 纵深防御层次模型

SSL解密不是孤立的安全能力，而是纵深防御体系中的一环。完整的加密流量安全架构应包含以下层次：

5.2 SSL解密架构设计图

5.3 各层安全措施清单

应用层检测措施（SSL解密后）：

会话层安全措施（TLS握手阶段）：

传输层检测措施（不解密）：

5.4 SSL解密性能优化策略

# 华为USG性能优化配置示例
ssl-profile decrypt-all
 # 启用会话复用
 ssl-session-resume enable
 # 配置会话缓存大小
 ssl-session-cache-size 65536
 # 启用硬件加速（如果设备支持）
 ssl-hardware-acceleration enable
 # 配置解密并发线程数
 ssl-worker-threads 8
quit

5.5 合规检查清单

六、SSL解密高级场景与排查

6.1 证书固定(Certificate Pinning)白名单管理

# 常见需要证书固定的APP白名单
ssl-policy sni-only-policy
 sni-only-domain *.apple.com
 sni-only-domain *.google.com
 sni-only-domain *.wechat.com
 sni-only-domain *.bank*.com
 sni-only-domain *.alipay.com
 sni-only-domain *.qq.com
 sni-only-domain *.weibo.com
 sni-only-domain *.huawei.com
 sni-only-domain *.icbc.com.cn
 sni-only-domain *.cmbchina.com
 sni-only-domain *.constructionbank.com.cn
quit

6.2 SSL解密故障排查矩阵

6.3 加密流量威胁检测（不解密方案）

# JA3指纹威胁检测配置
threat-intelligence
 # 启用JA3指纹检测
 ja3-fingerprint enable
 # 导入恶意JA3指纹库
 ja3-malicious-list file flash:/malicious_ja3.csv
 # JA3告警策略
 ja3-action alarm
quit

6.4 TLS 1.3 对 SSL 解密的影响

七、总结

思考

1. SSL解密本质上是一种"合法的中间人攻击"，在企业网络中如何平衡安全防护与用户隐私？
2. 为什么证书固定（Certificate Pinning）能完全阻断SSL解密？企业如何处理使用了证书固定的移动APP？
3. SSL解密对防火墙性能影响有多大？如何设计合理的解密策略以平衡安全检测与性能开销？

下篇预告：第232篇：HTTPS 过滤原理与挑战