Comment décrypter https

Comment décrypter https avec un sniffer réseau comme wireshark ou fiddler, sans avoir accès administratif au serveur? Par exemple, si je me connecter sur gmail, comment puis-je configurer wireshark à partir de mon ordinateur pour lire tous les en-têtes http sur le tls? Je vois des tutoriels en ligne pour le déchiffrement https avec wireshark, mais ils disent tous, j'ai besoin d'accéder à la clé privée du serveur, et je suppose que cela signifie qu'il est impossible de déchiffrer quoi que ce soit comme l'exemple que j'ai mentionné, gmail, est-ce correct ou pas?

  • Le point de l'ensemble de https est d'empêcher les gens de faire ce genre de chose.
  • C'est Décembre, 3ème, pas Avr, 1er.
  • ha! juste vérifier
InformationsquelleAutor Sam Adamsh | 2011-12-03
  1. 6

    Fiddler va faire à partir de votre pc si vous tournez sur le déchiffrer option https. Vous ne pouvez le faire pour votre trafic pas d'autres.

    http://www.fiddler2.com/Fiddler/help/httpsdecryption.asp

    • Techniquement, il ne déchiffre pas. Il utilise son propre certificat à la place du réel du serveur. Un certificat d'erreur s'affiche sur le navigateur. Ce n'est pas le déchiffrement.
    InformationsquelleAutor BNL
  2. 7

    Pour justifier la s de https nous avons convenu de ne pas être en mesure de déchiffrer le trafic réseau.

    • N'est-ce pas le vert de verrouillage dans l'url suffisant pour convaincre les gens?
    • Certaines personnes ont développé vert de verrouillage de la cécité.
    InformationsquelleAutor Michael Krelin - hacker
  3. 3

    Il est vrai que dans le cas général, vous ne pouvez pas faire cela.

    La seule façon de le faire sans la clé du serveur serait de lancer un man-in-the-middle attack, comme avec un outil comme sslsniff ou un serveur proxy avec une clé. Si nécessaire, vous pouvez même créer votre propre autorité de certification et demander à votre navigateur de confiance en elle, et l'émission de votre propre clé privée+cert pour ce que tu voulais sniff; ensuite, vous pouvez renifler votre propre trafic à la cible.

    InformationsquelleAutor mpontillo
  4. 1

    En principe, vous ne peut pas raisonnablement le faire, puisque c'est le but même de HTTPS pour assurer la confidentialité de la connexion.

    • Par votre logique, nous ne pouvons pas regarder de DVD sous Linux, car le but de CSS est de ne pas laisser regarder des Dvd sous Linux.
    • Je ne suis pas sûr qu'il y est un libdvdcss équivalent pour HTTPS. Les bibliothèques de ce que je sais (Curl) ne sont pas en mesure de "craquer" une connexion HTTPS.
    InformationsquelleAutor Basile Starynkevitch