logo Homepage
+  NewbieContest
|-+  Divers» Hacking» Hack TLS ??
Username:
Password:
Pages: [1]
  Imprimer  
Auteur Fil de discussion: Hack TLS ??  (Lu 1306 fois)
jerem3000
Profil challenge

Classement : 1514/49512

Néophyte
*
Hors ligne Hors ligne
Messages: 12


Voir le profil
« le: 17 Avril 2011 à 12:05:46 »

Bonjour,

Je me pauser une petite question par rapport au TLS, je connais le principe de l'attaque man in the middle qui consiste a intercepter le certificat de l'expéditeur et du recepteur pour servir de "relais".

Je pense donc qu'il dois étre possible de récupérer le certificat dans une app.

Exemple , j'ai un logiciel sur mon pc qui communique avec un serveur mais quand je le sniff je voie que cela est crypter en TLS, il dois étre possible de récupérer le certificat pour ensuite décrypter ce que l'application du PC envoie au serveur. Est-ce que quelqu'un pourrais t'il me le confirmer? et si effectivement c'est possible m'expliquer comment je dois m'y prendre.


Merci d'avance

Jerem3000
« Dernière édition: 17 Avril 2011 à 13:27:08 par jerem3000 » Journalisée
Spaulding

Profil challenge

Classement : 11/49512

Membre Complet
***
Hors ligne Hors ligne
Messages: 188


Voir le profil WWW
« #1 le: 18 Avril 2011 à 13:35:31 »

Non, avoir le certificat du serveur ne permet pas (heureusement) de déchiffrer une session TLS, pour ça il te faut la clé privée du serveur (cf http://wiki.wireshark.org/SSL).
L'attaque man in the middle permet elle de fournir ton propre certificat au lieu de celui du serveur, et dont tu maîtrises la clé privée.
Mais ça ne se fait pas sans qu'une alarme vienne alerter l'utilisateur qu'il y a un problème au niveau du certificat (auto signé généralement, mais je soupçonne qu'on doit pouvoir peut-être mettre la main sur des autorités de certification compromises : http://blogs.comodo.com/it-security/data-security/the-recent-ra-compromise/). Et vu comment les listes de révocations sont super bien implémentées dans les navigateurs...
Journalisée

---------------
Pages: [1]
  Imprimer  
 
Aller à: