Decodifica byte tunnel in EAP-TLS o EAP-TTLS utilizzando Wireshark

3

Ho un po 'di traffico per la conversazione EAP-TTLS, portata da RADIUS. Ne ho anche alcuni trasportati dall'EAPoL, ma penso che la risposta a quel caso potrebbe essere anche meno semplice (anche se forse non necessariamente). In entrambi i casi, posso visualizzare i contenuti EAP in Wireshark e posso eseguire il drill down fino alla negoziazione / handshaking TLS e ai byte TLS crittografati.

Sarebbe utile per me vedere il contenuto dei dati crittografati, poiché contiene ancora ulteriori strati dello scambio di autenticazione che sto indagando.

Tutto questo è stato generato utilizzando i miei sistemi di test, quindi ho tutte le informazioni disponibili, i certificati ecc. e so che dovrebbe essere nei dati TLS crittografati.

Ho seguito il tutorial di Wireshark, praticamente alla lettera. link

Ma non ho molta fortuna con questo, e sono preoccupato che forse Wireshark sappia solo come gestire i casi meno complessi di TLS, vale a dire i tuoi protocolli SSL giornalieri o comuni come quelli che funzionano su TCP come HTTP, SSH, RADIUS, SCP ecc.

Sto esaminando il caso leggermente più complesso di SSL su EAP su RADIUS su UDP da un lato e il SSL ancora più specializzato su EAP su EAPoL dall'altro.

I "penso" Potrei vedere i dati dell'app decrittografati in uno o due pacchetti EAP, in cui sono presenti le informazioni sull'handshake, ma queste informazioni non sembrano essere trasmesse al resto di esse.

Potrebbe essere che io sia troppo lontano tra le erbacce qui? O forse c'è qualcosa che mi manca, sembra proprio che dovrebbe essere possibile.

Sono sicuro di poter aggirare questo in qualche modo decrittando offline (o forse usando la cifratura NULL) ma pensavo di essere sicuro di aver esaurito tutte le strade con wireshark.

    
posta robert 17.10.2014 - 18:05
fonte

2 risposte

2

Se disponi di chiavi RSA e il trasporto utilizza una cipheruite non DHE, dovresti essere in grado di decodificare EAP-TLS con Wireshark. C'era tuttavia un bug che è stato corretto nella versione di sviluppo (v1.99.10rc0-191-g5e635ad) e finire nella versione 2.0.

Al momento devi specificare i valori fittizi per il numero di porta e così via, ma in seguito dovresti essere in grado di decifrare il traffico EAP-TLS. Vai a Modifica, Preferenze, Protocolli SSL, Elenco chiavi RSA. Quindi inserisci i seguenti dettagli:

  • Indirizzo IP: qualsiasi
  • Porta: 0
  • Protocollo: dati (qualsiasi cosa potrebbe funzionare qui)
  • File chiave: percorso del file chiave
  • Password: vuota per i file chiave in formato PEM, altrimenti una password per i formati PKCS # 12.
risposta data 21.09.2015 - 17:06
fonte
1

Robert - Recentemente ho dovuto affrontare lo stesso problema. Wireshark non decodifica SSL su EAP. Quello che puoi fare è fare finta Wireshark e prendere l'intera conversazione SSL e crearla una sessione pseudo tcp con i dati SSL dai pacchetti eap originali e ritrasmettere i frame. Ho usato i socket grezzi Python per generare la sessione tcp e quindi catturare la sessione tcp da wireshark (nota che hai solo bisogno di un pc raw socket per generare frame con qualsiasi combinazione source / dest) Imposta la decrittografia ssl come faresti se erano una sessione tcp originale che impostava il campo del protocollo da mangiare invece di HTTP. nota che i dati saranno decifrati, ma eap over ssl non è interamente interpretato correttamente tramite wireshark, quindi potresti dover eseguire una decodifica di dati di intestazione / dati a mano ma almeno non sarà crittografato. Ecco un link a un articolo di Cisco che fornisce maggiori informazioni su ciò che ho descritto sopra per la decifratura in eap-peap. link .

Spero che questo aiuti

    
risposta data 20.10.2014 - 06:57
fonte

Leggi altre domande sui tag