L’approche classique pour d\u00e9chiffrer des paquets SSL est d’utiliser un proxy ou un logiciel MITM.
\nDepuis quelques temps, WireShark d\u00e9chiffre les paquets SSL si on lui fournit les cl\u00e9s du chiffrage. Il y a 2 fa\u00e7ons d’obtenir ces cl\u00e9s:<\/p>\n
C’est la cl\u00e9 priv\u00e9e utilis\u00e9e par le serveur. La seule fa\u00e7on de l’obtenir est d’avoir acc\u00e8s aux fichiers du serveur et de la copier vers votre machine WireShark. Attention \u00e0 bien la prot\u00e9ger; cette cl\u00e9 ne doit pas \u00eatre connue du public.
\nLa position du fichier de cl\u00e9 varie d’un serveur \u00e0 l’autre; vous avez donc int\u00e9r\u00eat \u00e0 bien conna\u00eetre votre serveur ou d’en avoir la documentation technique.
\nLorsque la cl\u00e9 est copi\u00e9e sur votre machine, il suffit d’en informer WireShark:<\/p>\n
\u00c9diter \/Pr\u00e9f\u00e9rences\/Protocols\/SSL\/Edit(RSA key list)\/<\/em><\/p>\n On peut y sp\u00e9cifier:<\/p>\n – adresse IP du serveur SSL qu’on veut d\u00e9coder (0 pour toutes) Il peut y avoir plusieurs de ces fichiers. Wireshark choisit le fichier appropri\u00e9 en fonction des adresseIP\/port\/protocole que vous avez sp\u00e9cifi\u00e9 plus haut. Il ne s’agit pas vraiment d’une cl\u00e9 mais plut\u00f4t d’un r\u00e9sultat interm\u00e9diaire enregistr\u00e9 lors de la n\u00e9gociation SSL initiale entre le client et le serveur. Firefox et Chrome permettent d’enregistrer facilement ces r\u00e9sultats interm\u00e9diaires. Cette option porte le nom de SSLKEYLOGFILE.<\/p>\n Il faut sp\u00e9cifier o\u00f9 seront d\u00e9pos\u00e9s les secrets. Une autre fa\u00e7on est de l’activer de fa\u00e7on permanente. Ajoutez \u00e0 la fin de votre fichier .bashrc:<\/p>\n Red\u00e9marrez l’usager pour que cette commande prenne effet puis d\u00e9marrez Firefox (ou Chrome) Le d\u00e9chiffrage des paquets SSL peut s’av\u00e9rer tr\u00e8s utile lorsque vous avez \u00e0 r\u00e9gler un probl\u00e8me subtil avec un nouveau serveur (ou un objet Internet). Vous avez surement compris que la 2i\u00e8me m\u00e9thode (SSLKEYLOGFILE) est la plus facile.<\/p>\n fr.wikipedia.org\/wiki\/Transport_Layer_Security<\/a> L’approche classique pour d\u00e9chiffrer des paquets SSL est d’utiliser un proxy ou un logiciel MITM. Depuis quelques temps, WireShark d\u00e9chiffre les paquets SSL si on lui fournit les cl\u00e9s du chiffrage. Il y a 2 fa\u00e7ons d’obtenir ces cl\u00e9s: PrivateKey C’est la cl\u00e9 priv\u00e9e utilis\u00e9e par le serveur. La seule fa\u00e7on de l’obtenir est d’avoir … <\/p>\n
\n– port des messages \u00e0 d\u00e9coder (g\u00e9n\u00e9ralement 443, 0 pour tous)
\n– protocole (smtp, http, etc): vide indique tous les protocoles
\n– key file: le nom du fichier qui contient la cl\u00e9 import\u00e9e
\n– password: mot de passe du fichier (si besoin est)<\/p>\n
\nNote: la m\u00e9thode PrivateKey ne fonctionne qu’avec un chiffrage de type RSA. Les chiffrages DH (Diffie-Hellman) sont plus complexes et ne peuvent \u00eatre d\u00e9cod\u00e9s avec la m\u00e9thode PrivateKey. Utilisez plut\u00f4t la seconde m\u00e9thode (preMaster Secret<\/em>).<\/p>\npreMaster Secret<\/h2>\n
Pour activer l’option SSLKEYLOGFILE<\/h3>\n
\nDans une fen\u00eatre bash:<\/p>\nexport SSLKEYLOGFILE=\/chemin\/fichier; firefox (ou chrome)<\/pre>\n
export SSLKEYLOGFILE=\/chemin\/fichier<\/pre>\n
\nIndiquer \u00e0 Wireshark o\u00f9 est ce fichier:
\n\u00c9diter\/Pr\u00e9f\u00e9rences\/Protocols\/SSL<\/em>
\nEntrez le chemin\/fichier dans le champ (pre)Master-Secret log filename<\/em>
\nSi les 2 \u00e9tapes pr\u00e9c\u00e9dentes ont bien fonctionn\u00e9, vous verrez dans Wireshark, pour chacun des paquets SSL, un nouvel onglet Decrypted SSL data au bas de la fen\u00eatre de donn\u00e9es.<\/p>\nVersions:<\/h3>\n
\n\n
\n M\u00e9thode<\/strong><\/td>\n Outil<\/strong><\/td>\n Version<\/strong><\/td>\n Note<\/strong><\/td>\n<\/tr>\n \n PrivateKey<\/strong><\/td>\n Wireshark<\/td>\n >=1.6<\/td>\n<\/tr>\n \n PreMasterSecret<\/strong>
\n(SSLKEYLOGFILE)<\/td>\nFirefox<\/td>\n <=48<\/td>\n<\/tr>\n \n <\/td>\n Firefox<\/td>\n > 48<\/td>\n Seulement dans la version pour d\u00e9veloppeurs<\/td>\n<\/tr>\n \n <\/td>\n Chrome<\/td>\n < 59<\/td>\n<\/tr>\n \n <\/td>\n Chrome<\/td>\n \u00a0 59<\/td>\n Seule la version 59 a \u00e9t\u00e9 test\u00e9e<\/td>\n<\/tr>\n \n <\/td>\n Chrome<\/td>\n > 59<\/td>\n<\/tr>\n \n <\/td>\n Wireshark<\/td>\n >=1.8<\/td>\n PrivateKey et preMaster<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n Conclusion<\/h2>\n
R\u00e9f\u00e9rences:<\/h2>\n
\nfr.wikipedia.org\/wiki\/\u00c9change_de_cl\u00e9s_Diffie-Hellman<\/a>
\njimshaver.net\/2015\/02\/11\/decrypting-tls-…<\/a>
\nwww.root9.net\/2012\/11\/ssl-decryption-with-wireshark-private.html<\/a>
\nwww.m00nie.com\/2015\/05\/decrypt-https-ssltls-with-wireshark\/<\/a>
\ncertsimple.com\/blog\/ssl-wireshark-mac-osx<\/a>
\ndeveloper.mozilla.org\/en-US\/docs\/Mozilla\/Projects\/NSS\/Key_Log_Format<\/a><\/p>\n","protected":false},"excerpt":{"rendered":"