Seguridad a través de la oscuridad - ¿Las "solicitudes https" son seguras?

Navega tus respuestas
3

En una aplicación de iPhone que utiliza XML de texto sin formato (sin cifrar) como contenido de sus solicitudes HTTP POST a través de https al servidor de aplicaciones; ¿Cómo podría alguien descubrir el "formato" de las solicitudes XML de texto sin formato dentro de los paquetes enviados a través de un canal protegido https?

Tenga en cuenta que el atacante tiene acceso a la aplicación y podría usar un analizador / rastreador de paquetes, pero ¿el cifrado SSL no les impediría obtener el contenido de los paquetes? ¿Cómo podrían superar eso ...

    
pregunta wolfdawn 05.11.2014 - 10:01
fuente

2 respuestas

3

El atacante puede realizar un man-in-the-middle en su propio ataque. Los pasos básicos son:

  1. Configure un proxy como SSLsplit o Charles Proxy en una computadora.
  2. Instale un certificado raíz SSL personalizado en el dispositivo (iPhone).
  3. Agregue el proxy en la configuración del dispositivo.

Ahora el dispositivo enrutará todo el tráfico a través del proxy. Normalmente, no puede descifrar este tráfico, pero el proxy utilizará sus propias claves SSL falsas para hacer esto. El dispositivo acepta su certificado falso porque agregó un certificado raíz en el dispositivo. Sobre la base de este certificado, el proxy puede crear claves SSL válidas para cada dominio que desee como CA .

Para más detalles, consulte un tutorial:

respondido por el PiTheNumber 05.11.2014 - 14:11
fuente
4

El atacante podría atacar a su propio iPhone con Man-In-The-Middle creando un CA personalizado. SSL / TLS evita que los terceros en quienes no confían escuchen. El atacante no tiene por qué desconfiar de sí mismos y su iPhone les permite confiar en lo que quieran.

El formato no será seguro y no debería ser (no debe contener) información confidencial.

    
respondido por el Darsstar 05.11.2014 - 10:17
fuente

Lea otras preguntas en las etiquetas

¿Por qué Mark Zuckerberg cubre su conector para auriculares con cinta? ¿Por qué el tamaño del mensaje cifrado GPG no es proporcional al número de destinatarios y al tamaño del archivo?