Esiste un modo o uno strumento per verificare se una determinata app iOS sta implementando la funzionalità Pinning SSL?

Question

Esiste un modo o uno strumento per verificare se una determinata app iOS sta implementando la funzionalità Pinning SSL?

#1 da (1 voti)

2

Sto solo imparando la sicurezza di iOS. Questa è completamente una domanda per principianti.

Sto cercando di capire se esiste un modo particolare per verificare se un'applicazione iOS sta implementando la funzionalità di blocco di SSL.

Al momento ho controllato il traffico SSL di alcune app su Burp Proxy. Anche dopo aver installato Burp Proxy Certificate, alcune app lanciano alcuni avvisi, in modo tale che vi sia un errore fatale, quindi il client non è riuscito a negoziare una connessione SSL. E non sono sicuro se sia il modo appropriato o meno.

Ma qual è il modo esatto e perfetto per scoprirlo?

Grazie in anticipo

ios proxy openssl certificate-pinning burp-suite

posta sr1 11.02.2016 - 14:15

fonte

1 risposta

Leggi altre domande sui tag ios proxy openssl certificate-pinning burp-suite

Come ottenere ulteriori informazioni su TermDD Security Layer Disconnects (Event 56) Quali informazioni sull'autenticazione vengono rivelate localmente con eduroam WPA-Enterprise 802.1X?

score 1 · Answer 1

Usare Burp è un buon modo per testarlo. Ma non dimenticare di importare il certificato CA Burp sul dispositivo in modo che sia considerato attendibile dal dispositivo. Visita http://burp nel browser del dispositivo e scarica e installa il certificato.

La maggior parte delle app ora funziona su SSL e puoi vedere il loro traffico in Burp. Ma le app che ancora falliscono stanno facendo più controlli, cioè "appuntando".

Puoi fare lo stesso usando mitmproxy . In tal caso, visita mitm.it nel browser per importare il certificato CA di mitmproxy nel dispositivo.

Modifica Mi è venuto in mente che in Burp non vedi le connessioni fallite che le app hanno provato a fare, vedrai solo quelle di successo. Quello che uso per risolvere questo è uno strumento chiamato mitmdump , che è come una versione base di mitmproxy (mitdump viene fornito con mitmproxy). Non mostrerà solo connessioni riuscite, ma anche quali connessioni SSL sono state rifiutate dal client, quindi saprai cosa l'app ha provato a fare, e puoi vedere che è stata l'app che si è rifiutata di andare oltre.