请教用公司的邮箱，有密码，理论上实际上管IT的大牛是可以看到我邮箱的邮件吗？

Robin NSW

seth_chen 发表于 2018-3-13 13:39
什么HTTPS VPN之类的，只要是走公司网络，公司都可以decrypt，关键就是公司IT想不想，毕竟支持decrypt的设 ...

服务器在公司的可以，https流量劫持是不可能的

yzh1999

Robin NSW 发表于 2018-3-13 17:35
服务器在公司的可以，https流量劫持是不可能的

在很多公司网络环境下理论上确实可以的，但那是cyber crime。具体做法在57楼

FSM

click 发表于 2018-3-13 17:35
那是建立在加密解密方法公开的前提下

https加密方法都是公开的，没办法破的。
只能在证书上面做手脚。在证书上面做手脚又容易被发现。

Robin NSW

yzh1999 发表于 2018-3-13 17:41
在很多公司网络环境下理论上确实可以的，但那是cyber crime。具体做法在57楼 ...

这跟dns劫持是一码事，违法的。

click

FSM 发表于 2018-3-13 17:44
https加密方法都是公开的，没办法破的。
只能在证书上面做手脚。在证书上面做手脚又容易被发现。
...

最简单的做法就是在HTTPS上面再放一层加密

Robin NSW

click 发表于 2018-3-13 17:52
最简单的做法就是在HTTPS上面再放一层加密

用洋葱浏览器

click

click 发表于 2018-3-13 17:52
最简单的做法就是在HTTPS上面再放一层加密

中间节点只会看到私有密钥对加密后的结果

上班ing

seth_chen 发表于 2018-3-13 14:21
技术上其实很好实现啊，只要公司愿意，把你的https request按照截获，然后实际上是公司的ssl proxy在和你 ...

这文章里说的很容易被发现啊
大公司的话可能还要承担法律风险

虎

公司内部不管是HTTPS MITM还是DNS hijacking都是合法的。

前面某位网友说的对，还是别跟网管斗心眼了，买个SIM卡手机上网最省心

click

虎 发表于 2018-3-13 18:02
公司内部不管是HTTPS MITM还是DNS hijacking都是合法的。

前面某位网友说的对，还是别跟网管斗心眼了，买 ...

网管要是安个假基站...

虎

click 发表于 2018-3-13 18:05
网管要是安个假基站...

简单，直接把公司送上法庭，提前退休

觉主87

楼主要发什么言论？
我爸告诫我：不要妄议国家大事

gavinnye

放心吧，可以看到的

gavy

这个问题好比  “在隐秘版匿名发言版主  管理员能知道是谁发的吗”   答案是肯定的

symeteor

Poweregg 发表于 2018-3-13 10:16
https 该是端对端，中间不可拦截吧
哪位大牛解释一下？

关键词MITM
https在公司环境下，也是别人想看啥看啥

symeteor

click 发表于 2018-3-13 17:35
那是建立在加密解密方法公开的前提下

并不需要。。你用公司网络，用公司电脑，所有东西对公司都是透明的

symeteor

Robin NSW 发表于 2018-3-13 17:35
服务器在公司的可以，https流量劫持是不可能的

举个例子，澳洲某银行，所有https网站流量都是被监控的。为啥？因为用了haproxy替换了证书

虎

symeteor 发表于 2018-3-13 22:56
举个例子，澳洲某银行，所有https网站流量都是被监控的。为啥？因为用了haproxy替换了证书 ...

大公司很多都这样，也有正当理由 - intellectual property loss prevention

eltonfive

55楼和77楼，说的都不错，防火墙或者Proxy替换证书现在是很容易的事情，只不过是IT Security愿不愿意监控特定目标了。

对了，如果经常用Fiddler，你就知道decrypt SSL有多容易了。

白雲山民

全部是专业人士，谢谢解惑！

shibo2k6

你们都是在FBI工作吗？

dcc82

看你公司信箱是怎么架设的，但如果你公司使用的是Google G Suite，很遗憾的告诉你，Domain admin可以不需要知道你的个人密码，不需要禁用两步式验证，不用设置Delegation，就可以直接登陆你的信箱内，看任意邮件，就像使用自己的信箱一样，同时你不会收到Google发给你的任何通知，就像这事根本没有发生一样！还在搞什么Proxy飞机，真弱死了！

上班ing

FSM 发表于 2018-3-13 17:44
https加密方法都是公开的，没办法破的。
只能在证书上面做手脚。在证书上面做手脚又容易被发现。
...

我擦，是挺容易发现，但是你要不看就发现不了
我刚看了眼，我这里的证书都是工作的公司颁发的，很明显都被劫持了。。。

kk-11

肯定的呀，当然看得到了。看不到，还谈什么管理呀

并且，不是大牛哟，小卡卡也能看得到呀，因为只要有权限，就能看到了。所以不需要牛不牛，只需要是在能看到大家邮件的权限之上的那些人，全都能看到你的邮箱。

glorenzelgv5

楼主如果是你们公司内部的邮箱，那么技术上讲，你是没有隐私的，但是从法律和道德上讲，你的隐私受法律保护。

如果是通过公司网络访问外部资源，你的网络请求是全部看的到的，比如逛ebay或者看足迹。但是如果网站是https加密的，那么是无法截获你传输的内容信息，比如各种密码或者邮件内容等。主流的邮箱系统都是https加密，楼主不用担心被截获内容。

但是像足迹这种http的网站，你发的帖子，你输的密码，都是可以轻松破解的~~

kk-11

谢谢加分，再说详细一点



公司的网关，其实就是一个信息收发中心，每一个公司的端口要上网时，是首先通过网关，再上到外面的网，这个程序，使用者是感受不到，但程序上是这样的，所以任何上网记录，在网关上，都能查得出来。

这个上网历史，是指公司网内，派发给各个网口，都会有一个固定Ip地址，每个地址上网的数据，都是会留在后台的，后台的数据有一个保存期限，一般是一周吧，也有一个月，个别要求严的，可能也有长的。保存的硬盘需要容量很大，所以一般也不会保存太长时间。


在后台IT管理人员中，只需要工作权限，在公司网内任一电脑上，登陆后超级权限后，就能看到你在你的电脑上的操作记录。在贮储时间内的任何时间段你的任何操作，还可以同步实实显示出你的电脑界面。就是你的电脑界面，同步显示在另外一台电脑上。

重点提示。

在公司网上，是没有隐私的，不仅仅是你的邮箱，而是你的任何上网情况。你通过公司上网的任一行为，都能看得到，无论是不是“无痕浏览”。

无痕浏览，只是针对你的电脑。选择无痕浏览，只是无法在你的电脑上查到你之前在看什么，但在公司后台上，你的上网记录仍然是保存完好的。

对于公司来讲，你上网的任何行为，都在公司的监控之下

kk-11

另外，在公司后台看你的上网历史，不需要技术的，只要懂得上网，就能查看

需要的只是高级权限的用户名和密码。

最高权限的，会有不同的授权，因为有不同的管理人，只要授权能查看历史记录的人，就都能看得到。而你邮箱的用户名和密码，是保存在后台的。你输入时，会不显示数字，但其它后台是显示数字的，看得到的。如果从公司后台得到你的邮箱及密码后，那在其它电脑上也能查你的邮箱。

也就是说，查看你的邮箱，其实有两种，一种查公司后台。一种是查你的用户名和密码

一般的隐私泄露，没那么容易查到的，即使有人当成说你邮箱中有什么什么，事后你需要举证告他，这证据，也是很难获取的，基本上告不了。除非这人笨笨的截图贴到朋友圈，那一抓一准。

symeteor

glorenzelgv5 发表于 2018-3-15 15:48
楼主如果是你们公司内部的邮箱，那么技术上讲，你是没有隐私的，但是从法律和道德上讲，你的隐私受法律保护 ...

1.足迹是https的
2.哪怕是https，公司也可以获取你的一切内容，不仅仅是可以看到你访问了什么网站，。这个之前已经解释过了

上班ing

glorenzelgv5 发表于 2018-3-15 15:48
楼主如果是你们公司内部的邮箱，那么技术上讲，你是没有隐私的，但是从法律和道德上讲，你的隐私受法律保护 ...

公司的电脑和网络，员工是没有个人隐私受法律保护的，这个以前有过判例好像。
公司的电脑、公司的网络，公司是可以劫持HTTPS的证书的，虽然很容易发现，但是一般人都不会注意这些，包括我自己，在看这个帖子之前从来没注意过。稍微注意了一下就发现，确实已经被劫持了。。。
我们公司的电脑都有远程控制的客户端，公司网管几乎可以为所欲为的，比如随时远程登录进来，他如果不动我的鼠标我几乎不会注意到。

zyzbill

以为https, ssl很安全的“大牛”们，如果https, ssl安全那么美国，澳洲怎么反恐?
大牛们的牙都掉了一地也不懂吧