¿Por qué puedo ver las solicitudes HTTPS completas a través de Fiddler?

Question

¿Por qué puedo ver las solicitudes HTTPS completas a través de Fiddler?

#1 de Anders (5 votos)

4

Estoy probando una API web de C # alojada en un servidor remoto, y estoy monitoreando el tráfico HTTPS usando Fiddler.

Lo que me confunde es que a través de Fiddler puedo ver toda la carga útil de POST, los encabezados y las direcciones URL del host tanto para la solicitud como para la respuesta. ¿No debería el certificado SSL realmente cifrar esta información, o al menos parte de ella? Intenté encontrar un ejemplo de solicitudes HTTPS cifradas pero no puedo encontrarlo.

¿Por qué puedo ver una solicitud HTTPS completa en Fiddler?

tls http proxy tls-intercept fiddler

pregunta mko 02.03.2018 - 13:38

fuente

1 respuesta

Lea otras preguntas en las etiquetas tls http proxy tls-intercept fiddler

Cómo el secuestro de DNS fue un error de myetherwallet.com a pesar de que el servidor de DNS de AWS fue secuestrado ayer Entropía en una contraseña memorable nativa en un llavero macosX

score 5 · Accepted Answer

Echa un vistazo a estas instrucciones para saber cómo hacer que Fiddler descifre el tráfico TLS. Le indica que instale el certificado raíz de Fiddlers en el almacén de confianza del sistema operativo.

Esto implica que están haciendo una intercepción TLS clásica: hay una conexión TLS entre el navegador y Fiddler, y otra entre Fiddler y el servidor. El primero utiliza un certificado generado al vuelo por Fiddler y firmado con su certificado raíz. El segundo utiliza cualquier certificado proporcionado por el servidor. Como se ve abajo:

   Browser <--- TLS Connection #1 ---> Fiddler <--- TLS Connection #2 ---> example.com
                      |                                      |
               Certificate signed                  Genuine certificate 
                   by Fiddler                         for exmple.com

Esto funciona porque se le ha dicho al sistema operativo que confíe en el certificado raíz de Fiddlers, por lo que simplemente pueden girar un certificado para cualquier dominio que quieran sobre la marcha y el navegador lo aceptará.