Descifrar el tráfico SSL/TLS con Wireshark

En este artículo, haremos que Linux configure y capturaremos https (Protocolo de transferencia de hipertexto seguro) paquetes en Wireshark. Luego intentaremos decodificar las encriptaciones SSL (Secure Socket Socket).

Tenga en cuenta que: el descifrado de SSL /TLS puede no funcionar correctamente a través de Wireshark. Esta es solo una prueba para ver lo que es posible y lo que no es posible.

¿Qué son SSL, HTTPS y TLS??

En realidad, todos estos tres términos técnicos están interrelacionados. Cuando usamos solo http (Protocolo de Transferencia de Hipertexto), entonces no se usa seguridad de la capa de transporte y podemos ver fácilmente el contenido de cualquier paquete. Pero cuando se usa HTTPS, entonces podemos ver TLS (Transport Layer Security) se usa para cifrar los datos.

Simplemente podemos decir.

Http + (over) tls/ssl = https

Nota: HTTP envía datos a través del puerto 80, pero HTTPS usa el puerto 443.

Captura de pantalla para datos HTTP:

Captura de pantalla para datos HTTPS:

Hacer que Linux se configure para la descripción del paquete SSL

Paso 1
Agregue la variable de entorno a continuación dentro del .archivo bashrc. Abre el .archivo bashrc y agregar la línea a continuación al final del archivo. Guarde y cierre el archivo.

Exportar sslkeylogFile = ~/.ssl-key.registro

Ahora ejecute el siguiente comando para obtener el efecto de él.

fuente ~/.bashrc

Ahora pruebe el siguiente comando para obtener el valor de "Sslkeylogfile "

Echo $ sslkeylogfile

Aquí está la captura de pantalla para todos los pasos anteriores

Paso 2
El archivo de registro anterior no está presente en Linux. Cree el archivo de registro anterior en Linux. Use el comando a continuación para crear un archivo de registro.

toque ~/.ssl-key.registro

Paso 3
Iniciar Firefox instalado predeterminado y abra cualquier sitio HTTPS como Linuxhint o Upwork.

Aquí he tomado el primer ejemplo como Upwork.comunicarse.

Después de abrir el sitio web de Upwork en Firefox, verifique el contenido de ese archivo de registro.

Dominio:

gato ~/.ssl-key.registro

Si este archivo está vacío, entonces Firefox no está utilizando este archivo de registro. Cerrar Firefox.

Siga los comandos a continuación para instalar Firefox.

Comandos:

Sudo Add-SAPT-Repository PPA: Ubuntu-Mozilla-Daily/Firefox-Aurora
actualización de sudo apt-get
sudo apt-get install firefox

Ahora, inicie Firefox y verifique el contenido de ese archivo de registro

Dominio:

gato ~/.ssl-key.registro

Ahora podemos ver una gran información como la siguiente captura de pantalla. Somos buenos para irnos.

Etapa 4
Ahora necesitamos agregar este archivo de registro dentro de Wireshark. Sigue a continuación

Wireshark-> Edit-> Preferencias-> Protocolo-> SSL-> ”Aquí proporcione su ruta de archivo de registro secreto maestro".

Siga las capturas de pantalla a continuación para la comprensión visual.

Después de hacer todas estas configuraciones, haga bien y comience a Wireshark en las interfaces requeridas.

Ahora la configuración está lista para verificar el descifrado de SSL.

Análisis de Wireshark

Después de que Wireshark comience a capturar, coloque el filtro como "ssl"Para que solo los paquetes SSL se filtren en Wireshark.

Mire la siguiente captura de pantalla, aquí podemos ver que HTTP2 (HTTPS) se abre para algunos paquetes que fueron cifrados SSL/TLS antes.

Ahora podemos ver que la pestaña "SSL descifrado" en los protocolos de Wireshark y HTTP2 se abren visibles. Vea la siguiente captura de pantalla para consejos.

Veamos las diferencias entre el archivo de registro SSL habilitado "y" después del archivo de registro SSL habilitado "para https: // linuxhint.comunicarse.

Aquí está la captura de pantalla para paquetes de Linuxhint cuando "el registro SSL no estaba habilitado"

Aquí está la captura de pantalla para paquetes de Linuxhint cuando "el registro SSL estaba habilitado"

Podemos ver las diferencias fácilmente. En la segunda captura de pantalla, podemos ver claramente la URL solicitada por el usuario.

https: // linuxhint.com/bash_scripting_tutorial_beginners/\ r \ n

Ahora podemos probar otros sitios web y observar si estos métodos funcionan o no.

Conclusión

Los pasos anteriores muestran cómo hacer que Linux esté configurado para descifrar el cifrado SSL/TLS. Podemos ver que funcionó bien, pero algunos paquetes todavía están encriptados SSL/TLS. Como mencioné anteriormente, puede que no funcione para todos los paquetes o completamente. Aún así, es un buen aprendizaje sobre el descifrado de SSL/TLS.