如何排查公司网络劫持？HTTPS 证书安全性检测指南
网络劫持（尤其是 SSL/TLS 劫持）不仅会导致隐私泄露，还可能预示着严重的中间人攻击（MITM）。虽然许多公司为了审计需求会部署深信服、网康等行为管理设备，但对于员工而言，了解如何识别“非原生”的加密连接至关重要。
以下是针对 HTTPS 证书安全性的深度排查指南。
一、 核心原理：什么是 SSL 劫持？
通常情况下，HTTPS 加密是端到端的。但在公司环境下，如果网关设备强制替换了目标网站的 SSL 证书，并诱导员工终端安装了公司私有的根证书（Root CA），设备就能解密并查看原本加密的流量。这就是典型的“合法劫持”。
二、 快速排查步骤
1. 检查证书颁发机构 (CA)
这是最简单、最直接的方法。
操作： 在浏览器地址栏点击“锁头”图标 -> 查看证书。
正常情况： 颁发者应为全球公认的机构，如 DigiCert, GlobalSign, Let's Encrypt 或 Google Trust Services。
劫持迹象： 颁发者显示为你的公司名称（如
Company IT Dept）、设备型号（如Sangfor）或含义不明的个人名称。
2. 比对证书指纹 (Fingerprint)
证书指纹是唯一的。你可以通过切换网络环境（如切换到手机 4G/5G 热点）来对比。
操作： 记录公司网络下某网站（如
github.com）的 SHA-256 指纹，再记录手机热点下的指纹。判定： 如果两个环境下的指纹不一致，说明公司网络通过代理服务器对流量进行了重签名。
3. 排查本地受信任的根证书列表
如果公司劫持了 HTTPS 而浏览器没报警，说明你的电脑里被预装了“假根证书”。
Windows：
Win + R输入certmgr.msc-> 受信任的根证书颁发机构 -> 证书。macOS： 打开“钥匙串访问” -> 系统 -> 证书。
自查： 寻找那些你从未听过且非微软/苹果内置的证书。
三、 高级检测工具
利用第三方公正平台进行“远程对账”：
| 工具名称 | 功能描述 |
| SSL Labs (Qualys) | 全面检测服务器证书链及协议安全性。 |
| Censys / Shodan | 搜索公网实时的证书快照，用于对比本地看到的证书。 |
| SSLRipper | 专门用于检测中间人攻击和证书替换的开源工具。 |
四、 如何防范与应对？
拒绝安装来源不明的描述文件或根证书： 除非确知是办公必须，否则不要轻易点击弹出窗口的“允许安装”。
关注 HSTS 报错： 如果访问大型网站（如 Google, Facebook）时浏览器弹出强制警告（且无法点击“继续前往”），这通常意味着 HSTS 机制检测到了证书异常。
使用 VPN/隧道加密： 建立加密隧道可以绕过公司网关的 DPI（深度包检测），但需注意这可能违反部分公司的 IT 管理条例。
开启 SSL Pinning（针对开发者）： 在移动端应用中硬编码证书公钥，强制只信任特定证书。
五、 总结
识别公司网络劫持的核心在于“信任链的比对”。只要本地看到的证书颁发者与公网公认的颁发者不符，劫持行为便无所遁形。保持对系统根证书库的定期清理，是维护个人隐私的第一道防线。
温馨提示： 部分公司进行网络审计是出于合规和防止泄密需求。在进行技术排查时，请务必遵守当地法律法规及公司信息安全手册。
