Ο proxy τρέχει στο μηχάνημά σου. Ρυθμίζεις το πρόγραμμα περιήγησης να στέλνει τα πάντα σε
αυτόν αντί κατευθείαν στον διακομιστή.

πρόγραμμα περιήγησης  →  proxy (εσύ)  →  εφαρμογή
                       ←              ←

Είσαι, κυριολεκτικά, στη μέση. Και αυτό είναι όλη η ιδέα: ό,τι το πρόγραμμα περιήγησης
έστελνε αόρατα, τώρα το βλέπεις και μπορείς να το κρατήσεις.

Το πιστοποιητικό, και τι σημαίνει πραγματικά

Η κρυπτογραφημένη κίνηση δεν μπορεί να διαβαστεί από κάποιον στη μέση. Αυτός είναι ο σκοπός
της. Οπότε ο proxy κάνει κάτι που, σε κάθε άλλη περίσταση, θα ήταν επίθεση: παρουσιάζει το
δικό του πιστοποιητικό και εσύ του λες να το εμπιστεύεσαι.

Οι συνέπειες που πρέπει να ξέρεις:

• Ό,τι περνά από τον proxy είναι αναγνώσιμο, συμπεριλαμβανομένων κωδικών σου
• Το πιστοποιητικό δεν εγκαθίσταται σε προσωπικό προφίλ — μόνο σε προφίλ ή VM που
  χρησιμοποιείς αποκλειστικά για δουλειά
• Αφαιρείται όταν τελειώσεις. Πιστοποιητικό ξεχασμένο σε μηχάνημα είναι μόνιμη αδυναμία
  του δικού σου συστήματος

Ο proxy πιάνει τα πάντα από το πρόγραμμα περιήγησης, όχι μόνο τον στόχο.

Αν δουλεύεις με το κανονικό σου πρόγραμμα περιήγησης, μέσα στο αρχείο εργασίας καταλήγουν τα
μηνύματά σου, οι λογαριασμοί σου, οι συνεδρίες σου. Είναι το ίδιο πρόβλημα με τα στιγμιότυπα
οθόνης του L07 §5, σε μεγαλύτερη κλίμακα.

Τι κάνεις:

1. Ξεχωριστό προφίλ ή ξεχωριστή VM για δουλειά ελέγχου
2. Περιορισμός εύρους μέσα στο ίδιο το εργαλείο — τα περισσότερα δέχονται κανόνα «μόνο
   αυτός ο στόχος»
3. Έλεγχος του ιστορικού πριν το αποθηκεύσεις — ό,τι δεν αφορά τον στόχο φεύγει

Το (2) δεν είναι μόνο υγιεινή. Είναι ο μηχανισμός που σε κρατά εντός εύρους: αν το εργαλείο
δεν στέλνει τίποτα εκτός του δηλωμένου στόχου, δεν μπορείς να βγεις εκτός εύρους κατά λάθος.

Παρατήρηση

Αφήνεις την κίνηση να περάσει και τη διαβάζεις. Είναι το ίδιο με το L15 §6, με καλύτερη
ορατότητα.

Αυτό που βλέπεις πρώτη φορά καθαρά: πόσα στέλνει το πρόγραμμα περιήγησης χωρίς να το
ζητήσεις, και πόσα από αυτά είναι στη δεξιά στήλη του L17 §1 — δηλαδή δικά σου.

Επανάληψη

Στέλνεις ξανά ένα αίτημα, όπως ήταν. Χρήσιμο για να επιβεβαιώσεις ότι κάτι είναι σταθερό και
όχι τυχαίο.

Προσοχή: επανάληψη αιτήματος που έκανε κάτι —μια αγορά, μια διαγραφή— το ξανακάνει.
Η επανάληψη δεν είναι ουδέτερη επειδή το αίτημα υπήρχε ήδη.

Τροποποίηση

Αλλάζεις κάτι και το στέλνεις. Εδώ ισχύει η ρήτρα του RoE, και εδώ γίνονται τα λάθη.

Τι δεν αλλάζεις χωρίς ξεχωριστή άδεια: τιμές που διαγράφουν, τιμές που στέλνουν μήνυμα σε
πραγματικό άνθρωπο, ποσά, και οτιδήποτε αφορά λογαριασμό που δεν σου ανήκει.

Ένα εύρημα από proxy πρέπει να περιέχει και τα δύο αιτήματα:

Χωρίς το πρώτο, κανείς δεν ξέρει αν η συμπεριφορά ήταν ήδη έτσι.

Ως κείμενο, όχι μόνο ως στιγμιότυπο. Ένα στιγμιότυπο δεν αντιγράφεται, δεν αναζητείται και
δεν δίνει hash σε κάτι χρήσιμο. Τα περισσότερα εργαλεία εξάγουν το αίτημα σε απλό κείμενο —
αυτό πάει στο 03-raw/ (L24 §1).

Το αρχείο εργασίας είναι ευαίσθητο

Περιέχει ολόκληρη την κίνηση: διαπιστευτήρια, αναγνωριστικά συνεδρίας, προσωπικά δεδομένα
πραγματικών χρηστών αν η εφαρμογή τα είχε.

Ισχύει το L07 §8 χωρίς εξαίρεση: περιορισμένα δικαιώματα, δηλωμένος χρόνος διατήρησης, και
ποτέ σε προσωπικό νέφος ή κοινόχρηστο δίσκο. ⚖ ΑΠΑΙΤΕΙ ΝΟΜΙΚΟ ΕΛΕΓΧΟ — L02 §4.

1. Στήσε τον proxy με ξεχωριστό προφίλ και περιορισμό εύρους στον στόχο σου (§2).
   Απόδειξε ότι δουλεύει: επισκέψου κάτι άλλο και δείξε ότι δεν καταγράφηκε.
2. Παρατήρησε. Κατάγραψε ένα πλήρες αίτημα. Πόσα από τα μέρη του L17 §1 τα ελέγχεις;
3. Επανάλαβε ένα αίτημα χωρίς αλλαγή. Ίδια απάντηση; Αν όχι, γιατί;
4. Τροποποίησε — ένα πράγμα. Άλλαξε μία τιμή που το πρόγραμμα περιήγησης θεωρεί
   σταθερή (§3, και L17 §3). Κατάγραψε πριν, μετά, αποτέλεσμα.
5. Δεύτερη τροποποίηση, διαφορετικό πράγμα. Όχι ταυτόχρονα με την πρώτη.
6. Γράψε πού είναι η γραμμή στη δική σου εφαρμογή: ποια τροποποίηση θα απαιτούσε ξεχωριστή
   άδεια σε πραγματική ανάθεση, και γιατί;
7. Καθάρισε. Αφαίρεσε το πιστοποιητικό, σημείωσε ότι το έκανες.

Βαθμολόγηση

Άμεση αποτυχία: proxy σε εφαρμογή που δεν τρέχεις εσύ· ή πιστοποιητικό σε προσωπικό προφίλ.

Τα εργαλεία αυτής της κατηγορίας έχουν πολλές λειτουργίες, τιμολογιακές βαθμίδες και
ονομασίες που αλλάζουν. ⧗ ΑΠΑΙΤΕΙ ΕΠΑΛΗΘΕΥΣΗ — δεν παρατίθενται εδώ, γιατί παλιώνουν και
δεν διδάσκουν.

Αυτό που δεν αλλάζει:

• Ο proxy σου δείχνει· δεν αποφασίζει τι έχει σημασία
• Η αυτοματοποίηση καλύπτει έκταση· η κρίση καλύπτει βάθος (L18 §2, επιχειρησιακή λογική)
• Ένα εργαλείο που δεν σου δείχνει τι στέλνει δεν σου επιτρέπει να ξέρεις σε ποια πλευρά
  της γραμμής είσαι (L15 §14)

Η αυτοματοποιημένη πλευρά είναι το L20.

≈3 από 40: τι απαιτεί τροποποίηση έναντι παρατήρησης· τι σημαίνει το πιστοποιητικό· γιατί
μία αλλαγή τη φορά.

Το παλιό άρθρο ανακατευθύνεται εδώ.