Perché posso visualizzare il traffico HTTPS solo da alcune app iOS con ZAP?

3

Ho notato una curiosità strana con il traffico che annusa dalle mie app sul mio iPhone. Ho installato il certificato CA ZAP Proxy sul dispositivo, ma ho notato che posso annusare il traffico di alcune app e altre che non posso. Ciò è apparso sei mesi fa, ma ora ho notato che ancora più della mia suite non riesce a connettersi tramite il proxy, quindi la mia presunzione è che un certificato attendibile non è più affidabile.

Sono a conoscenza di un problema con iOS, in base al quale una libreria ha consentito l'utilizzo di certificati non attendibili, ma sicuramente se ho installato una CA radice, ho detto esplicitamente che il dispositivo è affidabile, quindi dovrei essere in grado di visualizzare tutti gli HTTPS traffico dal dispositivo?

In caso contrario, è ancora possibile sniffare HTTPS dal dispositivo tramite un proxy?

    
posta Colin 07.05.2016 - 14:40
fonte

1 risposta

3

Sì, in genere è ancora possibile, ma tecniche come Pinning del certificato e altre rendono sempre più difficile fare un attacco Man-in-the-Middle.

Ho anche notato un bel po 'di app (su Android) e ho scoperto che soprattutto le app di messaggistica e comunicazione (Facebook, Snapchat, ...) cercano di sniffare il traffico di rete il più duramente possibile.

Upadate:

Potresti provare a disabilitare il blocco dei certificati sul tuo dispositivo / browser. Questo è facile per i sistemi desktop (@Psiinon collegato a una guida Come disabilitare il blocco dei certificati in Firefox - grazie per sottolineando questo).

Per disattivare il blocco dei certificati sugli smartphone, è necessario root / jailbreak il dispositivo. Uno strumento per iOS potrebbe essere SSL Kill Switch 2 , e per Android si potrebbe usare JustTrustMe (root e xposed richiesti).

Non ho provato nessuno degli strumenti sopra elencati. Entrambi gli strumenti sono elencati in questa presentazione di Anant Shrivastava . Vedi le diapositive 15 e 20.

Ultima nota: la disabilitazione di una funzione di sicurezza come il blocco dei certificati è una minaccia per la sicurezza ed è consigliata solo per i test.

    
risposta data 07.05.2016 - 14:49
fonte

Leggi altre domande sui tag