Proxy hinter Proxy

[Joe6pack]

Hallo zusammen,

eventuell kann mir jmd auf die schnelle helfen. Folgendes Anliegen:
In meiner Firma läuft alles über einen Proxy. (Der ist bekannt)
Da bei uns alles geloggt wird, will ich verhindern daß irgendwann mal blöd gefragt wird ob facebook und Co. zu meinem Aufgabengebiet gehört.
Jetzt gibt es ja Internetseiten über die kann man auf andere Seiten sufen. So ist in der Log nur diese Anonymseite zu sehen.
Gibt es ein Freewareproxy, bei dem ich mein jetzigen Proxy eintrage (sonst tut ja internet nicht) und der mich dann über andere seiten schickt. Muß nicht anonym sein. Sollte nur schnell sein.

Gruß Joe6pack

 

[Hexcode]

Du riskierst es also eine Abmahnung zu bekommen, nur weil du auf Facebook kommen möchtest? Das mit dem mitloggen und Proxy hat schon seinen Sinn in nem Firmennetzwerk...

 

[Joe6pack]

Ist nicht expizit verboten bei uns. Will vorbeugen...
Daten dürfen auch nicht angeschaut werden, da der Betriebsrat da noch ein Wörtchen mitredet (Datenschutz) Nur wenn "gefahr im verzug"

 

[0711]

...was man für wichtige anliegen manche haben kann.

such nach webproxy listen und dergleichen, dann surft du über eine entpsrechende webseite und euer proxy filter kanns nicht mehr erfassen.

Sei dir aber bewusst, alles was du nicht verschlüsselt übers netz schickst kann von diesem proxy aus mitgelesen werden...die betreiber leben auch nicht von der hand in den mund und es gibt hier durchaus schwarze schafe.

Desweiteren könnte man dieses vorgehen durchaus als "vorsätzliches umgehen von schutzmaßnahmen" auslegen (eventuell sind bei euch urls aus gutem grund geblockt, wär über einen derartigen webproxy nicht mehr der fall) und dann ist egal ob bei euch privates surfen erlaubt ist oder nicht, dass musst du aber mit dir ausmachen ob es dir ne eventuelle abmahnung wert ist anstatt eine "unangenehme" frage obs zu deinem aufgabengebiet zählt...zeig halt etwas eier und steh dazu wenn dus schon als so wichtig erachtest.

In der regel hat die it eh kein zeit danach zu schauen dass joe niemand auf facebook rumlungert, interessiert die auch in der regel nen scheiss...würds wirklich jemand stören könntet ihr facebook nicht aufrufen. Wenn du dir aber was einfängst und nachgeforscht wird woher....

 

[ulukay]

wenn du irgendwo zugriff auf einen ssh server der auf dem port 443 rennt hast, hast du gewonnen. dann bekommt der proxy gar nichts mehr mit, ausser EINE verschluesselte verbindung

 

[Joe6pack]

Das mit den Webproxys mache ich ja teilweise schon, wenn ich auf ne Blockierte Seite will. Bei uns ist aber nur Gulli blockiert. Warum auch immer... Ebay, face usw.. klappen auch so.
Klar, können die alles mitschneiden, und wenn sie es auf mich abgeshen haben, bin ich eh fällig. Will halt verhindern, daß die per suche durchs log "Facebook" meine IP sehen. Lieber wären mir 100 Verbindungen zu z.b. Anonymouse.org
Gibt es da nicht ein addon zu Firefox wo ich genau das nicht eingeben muß sonder er "automatisch" über einen WebProxy geht?

@ulukay:
Interessiert mich. Daheim kann ich ja einen server aufsetzen. Rechner läuft eh 24/7
Aber ich glaube hier komm ich nur über 80 und 8080 raus. Kannst du mir das genauer erklären? oder link?

 

[little_skunk]

Es gibt mitlerweile auch schon Proxys, die selbst SSH Verbindungen überwachen. Das erkennt man aber wenn man sich das Zertifikat etwas genauer anschaut.

Wie wäre es mit einer UMTS Flat. Je nach Anbieter kostet das 10€ und schon kannst du ungestört mit deinem Handy Facebook besuchen.

 

[ulukay]

Es gibt mitlerweile auch schon Proxys, die selbst SSH Verbindungen überwachen. Das erkennt man aber wenn man sich das Zertifikat etwas genauer anschaut.

aja, und wie soll das gehen.
das ist verschluesselt zwischen server und client. alles was der vielleicht rausfinden kann, ist dass es KEINE https connection ist die man aufbauen will, und diese blockieren.

Using Corkscrew to tunnel SSH over HTTP | TechRepublic

alles was du brauchst ist ein ssh server im internet, der auf port 443 konfiguriert ist.

 

[little_skunk]

Wie das nunmal so funktioniert. Du baust eine SSH Verbindung zum Proxy auf und siehst auch dessen Zertifikat. Weil eigenes Firmennetz wird das Zertifikat auch als vertrauenswürdig behandelt. Der Server hat dann deine Daten unverschlüsselt und baut seinerseits eine verschlüsselte Verbindung zu deinem Ziel auf.

Wie gesagt man erkennt das wenn man sich das Zertifikat etwas genauer anschaut.

Edit: Also im Prinzip ein man in the middle attack. Wobei der Proxy aber keine Bösen Absichten hat.

 

[little_skunk]

Dann arbeiten wir wohlmöglich für die gleiche Bundesbehörde

 

[Joe6pack]

Das mit dem Tunnel hört sich ja echt super an. Genau sowas werd ich machen. Eventuell bekomm ich den Server auch auf meiner Fritzbox zum laufen, dann kann ich immer tunneln auch wenn der Rechner mal aus wäre.
Ich befürchte bei Fragen meld ich mich nochmal

 

[little_skunk]

Dann prüf aber vorher mal ob dein Proxy SSH überwacht oder nicht sonst gibt es eine böse Überaschung...

 

[Joe6pack]

und wie kann ich das genau prüfen? Du sprichst von einem Zertifikat. Wann und wo sehe ich das? Also ich würde das ding mit dieser Anleitung nachbauen.
Anleitung: Sichere Remote verbindung/tunneling mit UltraVNC, OpenSSH und Putty » Von Alexander » ALEXANDER NOVAK

 

[ulukay]

Wie das nunmal so funktioniert. Du baust eine SSH Verbindung zum Proxy auf und siehst auch dessen Zertifikat.

noe
ich baue keine ssh verbindung zum proxy auf.

corkscrew tunnelt ssh ueber http(s)
d.h. ich baue eine http(s) verbindung zum proxy auf, IN DER eine ssh verbindung drin ist. von der der proxy nichts mitbekommt.

---------- Post added at 12:08 ---------- Previous post was at 12:06 ----------

Ist bei mir auf Arbeit so, kann mich nicht mal bei meiner Bank "sicher" einloggen. Arbeite bei einer Bundesbehörde.

Wie genau die Absichten sind, kann man ja nicht wissen. Im Falle vom TE wäre das schlecht. Ich hab es daher bei mir auf work aufgegeben...

wenn https ganz abgedreht ist, wirds schwierig
auf http lauschen ja die depperten protokoll inspektoren. deshalb kannst ueber reines http meistens auch kein ssh tunneln.

wobei auch das funktioniert, dafuer muss man aber zuhause nen http server aufstellen, und ein service installiern der dir ssh ueber unverschluesseltes http tunneln kann. der name des programms faellt mir nur leider grad nicht ein.
ist aber auch etwas komplizierter einzurichten.

---------- Post added at 12:10 ---------- Previous post was at 12:06 ----------

Das mit dem Tunnel hört sich ja echt super an. Genau sowas werd ich machen. Eventuell bekomm ich den Server auch auf meiner Fritzbox zum laufen, dann kann ich immer tunneln auch wenn der Rechner mal aus wäre.
Ich befürchte bei Fragen meld ich mich nochmal

hat sowieso viele vorteile.
loggst dich per ssh ein, schiesst dir einen "dynamic port" her und verwendest den bei den programmen als socks proxy.
z.b. wenn du mit deinem laptop/tablet/handy in einem fremden wlan surfst. der betreiber koennte ja alles 1:1 mitschneiden - sofern du mit http surfst. ssh tunnel aufgebaut - und schon ists nicht mehr moeglich.

 

[little_skunk]

und wie kann ich das genau prüfen? Du sprichst von einem Zertifikat. Wann und wo sehe ich das?

Wenn du mit deinem Browser eine sichere Verbindung (https) aufbaust, wird dir das Zertifikat in deinem Browser angezeigt. Anhand der Daten des Zertifikats, die du dir ansehen kannst, siehst du dann ob es vom Proxy kommt. Zur Kontrolle nochmal einen anderen https Seite besuchen. Wenn dir da das gleiche Zertifikat mit den gleichen Daten angezeigt wird, ist es das Zertifikat vom Proxy.

Sry aber eine genaue Anleitung kann ich mit meinem Gewissen nicht vereinbaren. Facebook auf Arbeit halte ich für sehr fragwürdig. Ich sehe das ganze auch noch aus Sicht der IT Sicherheit. Die firstlose Küdigung wurde ja schon oft genug genannt. Das alles für Facebook? Ist es das wirklich wert?
Je nachdem was du alles unterschrieben hast, wäre es ratsamer lieber so Facebook zu besuchen. Das wird dann zwar mitgelogt aber verstößt ja erstmal gegen nichts. Könnte höchstens ne Abmahnung geben. Je nachdem wie stark man es übertreibt. Wenn man dagegen den Proxy geflegt tunnelt ist das eine ganz andere Liga...

---------- Beitrag hinzugefügt um 12:33 ---------- Vorheriger Beitrag war um 12:16 ----------

ich baue keine ssh verbindung zum proxy auf.

corkscrew tunnelt ssh ueber http(s)
d.h. ich baue eine http(s) verbindung zum proxy auf, IN DER eine ssh verbindung drin ist. von der der proxy nichts mitbekommt

Darauf würde ich nicht wetten. Ob der Proxy https Verbindungen überwachen kann oder nicht, kann man ja wie gesagt recht einfach prüfen. Wenn er es tut stellt sich die Frage was ihn daran hindert das nicht auch bei ssh zu machen. Warum soll er nicht auch da einfach das Zertifikat durch ein eigenes ersetzen? Wüßte jetzt nicht mal wie man das dann prüft. Anonsten bleibt dem Proxy ja noch die Alternative die Verbindung einfach zu blocken.

 

[0711]

Das mit den Webproxys mache ich ja teilweise schon, wenn ich auf ne Blockierte Seite will. Bei uns ist aber nur Gulli blockiert. Warum auch immer... Ebay, face usw.. klappen auch so.
Klar, können die alles mitschneiden, und wenn sie es auf mich abgeshen haben, bin ich eh fällig. Will halt verhindern, daß die per suche durchs log "Facebook" meine IP sehen. Lieber wären mir 100 Verbindungen zu z.b. Anonymouse.org
Gibt es da nicht ein addon zu Firefox wo ich genau das nicht eingeben muß sonder er "automatisch" über einen WebProxy geht?

keine ahnung was es für den firefox gibt aber wie gesagt umgehst du damit bewusst sicherheitssysteme des unternehmens und das ist in der regel nicht nur ne abmahnung...

ssh tunnel wär ne möglichkeit sofern sie ssl traffic ungefiltert durchlassen, ist aber oft eben nicht der fall (der du baust zum proxy die ssl verbindung auf, der zur webseite...dabei wird deine verbindung mit dem zertifikat des proxys gesichert und deine veribndung endet/beginnt am proxy, nicht bei dir)

 

[Joe6pack]

Also gut, ihr habt mich überzeugt. Habe daheim mal sowas aufgesetzt zum testen. klappt wunderbar. Aber ihr habt recht, den Proxy aushebeln könnte schon üble arbeitsrechtliche konsequenzen haben.
Also zurück zu meiner Ursprünglichen Frage:
Hab jetzt mal das FF addon "hide my ass" installiert und das tut genau was ich will. Allerding kann ich dem nicht sagen er soll es IMMER automatisch benutzen. Man kann zwar mit z.B. 'hma Google' es recht konfortabel einsetzen aber halt nicht automatisch. Kennt keiner von euch ne möglichkeit? Oder einen anderen weg....z.B. about:config standartmäßig was davorschreiben oder so..

 

[fdsonne]

noe
ich baue keine ssh verbindung zum proxy auf.

corkscrew tunnelt ssh ueber http(s)
d.h. ich baue eine http(s) verbindung zum proxy auf, IN DER eine ssh verbindung drin ist. von der der proxy nichts mitbekommt.

Was hier angesprochen wurde nennt sich SSL scanning...
Es überwacht jeglichen SSL Verkehr auf Port 443 und hindert so den Client direkt eine verschlüsselte Verbindung zu einem Ziel aufzubauen, ohne den Datenverkehr überprüfen zu können.
Der Proxy in dem Fall schaltet sich zwischen Client und Server als Zwischenstelle. Terminiert dabei die SSL Verbindung vom Client und baut gleichzeitig SSL verschlüsselt die Verbindung zum Ziel auf. Für den User selbst ist das quasi unsichbar. Außer halt am Zertifikat selbst.

Sollte das ordentlich konfiguriert sein, so kannst du nichts über SSL tunneln, was nicht gesehen wird. Das heist, der Admin in dem Fall hat immer die Möglichkeit hier was gegen zu unternehmen.

Die Große Preisfrage bleibt aber. Im Moment scheint Facebook in seinem Fall ja noch gedulet zu sein. Es kann also durchaus sein, das es gar niemanden interessiert, wenn die ein oder andere Person auf Facebook surft.
Aber tauchen dort irgendwelche "unbekannten" Seiten auf die viel Traffic erzeugen, so macht das unter Umständen viel mehr Aufsehen...

 

[Autokiller677]

Wie wäre es mit einer UMTS Flat. Je nach Anbieter kostet das 10€ und schon kannst du ungestört mit deinem Handy Facebook besuchen.

Nicht mal nötig. FB ist auf Handys kostenlos: Facebook-Handy | Facebook
Jedenfalls verstehe ich das so, dass man da dann auch keine Flatrate braucht.

Vom Austricksen des Proxys würde ich mal absehen, wäre zwar eine schönes Beispiel wie unglaublich sicher diese angeblich todsicheren Systeme sind. Mir wäre es das Risiko nicht wert, außer ich will sowieso kündigen^^

 

[Shiga]

Mach's wie ich, beim Systemadmin einschleimen, damit er dir eine feste IP gibt,
die nicht über den Proxy läuft. :P

 

[ulukay]

Was hier angesprochen wurde nennt sich SSL scanning...
Es überwacht jeglichen SSL Verkehr auf Port 443 und hindert so den Client direkt eine verschlüsselte Verbindung zu einem Ziel aufzubauen, ohne den Datenverkehr überprüfen zu können.
Der Proxy in dem Fall schaltet sich zwischen Client und Server als Zwischenstelle. Terminiert dabei die SSL Verbindung vom Client und baut gleichzeitig SSL verschlüsselt die Verbindung zum Ziel auf. Für den User selbst ist das quasi unsichbar. Außer halt am Zertifikat selbst.

Sollte das ordentlich konfiguriert sein, so kannst du nichts über SSL tunneln, was nicht gesehen wird. Das heist, der Admin in dem Fall hat immer die Möglichkeit hier was gegen zu unternehmen.

Die Große Preisfrage bleibt aber. Im Moment scheint Facebook in seinem Fall ja noch gedulet zu sein. Es kann also durchaus sein, das es gar niemanden interessiert, wenn die ein oder andere Person auf Facebook surft.
Aber tauchen dort irgendwelche "unbekannten" Seiten auf die viel Traffic erzeugen, so macht das unter Umständen viel mehr Aufsehen...

das ist theoretisch richtig
praktisch habe ich bisher noch NIE einen so konfigurierten proxy gesehen.

 

[little_skunk]

Nicht mal nötig. FB ist auf Handys kostenlos: Facebook-Handy | Facebook
Jedenfalls verstehe ich das so, dass man da dann auch keine Flatrate braucht.

Ich lese da nur, dass Seitens Facebook keine Kosten anfallen. Es ist aber eine Datenverbindung oder SMS notwendig. Da gilt dann natürlich der jeweilige Handytarif. Kommt dann auch ein wenig drauf an ob man nur einmal am Tag auf Facebook schaun will oder eher im Minuten Takt.

 

[NicoRR]

Wenn Du Geld investieren würdest, gibt's da eine wunderbare Software.
Administrative Rechte auf dem PC sind natürlich (dauerhaft!) von Nöten.

 

[Autokiller677]

Ich lese da nur, dass Seitens Facebook keine Kosten anfallen. Es ist aber eine Datenverbindung oder SMS notwendig. Da gilt dann natürlich der jeweilige Handytarif. Kommt dann auch ein wenig drauf an ob man nur einmal am Tag auf Facebook schaun will oder eher im Minuten Takt.

Ich bin da nicht ganz sicher, denn Facebook ist ja so oder so kostenlos und ich meine auch schon mal gehört zu haben, dass halt keine Verbindungskosten anfallen.

EDIT: Nach kurzem Googlen hab ich das hier gefunden http://www.ubbu.de/facebook-vom-handy-kostenlos/handy/1319/
Sollte man halt nur noch prüfen, ob FB auch mit dem Provider seines Vertrauens kooperiert.

EDIT2: Wenn ich 0.facebook.com auf dem PC öffne, erhalte ich folgende Meldung:

Leider wird 0.facebook.com nur von ausgewählten Mobilfunkanbietern unterstützt und ist für deinen Mobilfunkanbieter nicht verfügbar.

Kann man also gefahrlos probieren und sieht, ob Kosten anfallen oder nicht.