claves de sesión del navegador SSL

Lo descubrí.
Para hacer esto, necesita descargar la última versión del código fuente de Wireshark. Corrí mi prueba en Wireshark 2.0.1

Es necesario realizar cambios en el archivo: /epan/dissectors/packet-ssl-utils.c en la carpeta de origen de Wireshark.

Imprima las variables en un archivo de la línea 3179 - 3194.
Puede encontrar la clave de escritura del cliente, la clave de escritura del servidor, la clave MAC del cliente, la clave MAC del servidor, el cliente IV y el servidor IV)

Para escribir en un archivo en C usa esto

Archivo: *fptr; fptr = fopen("directory you want to open a file in", "a+");

fprintf("data"); // this will write data to the file

Nota: para hacerlo de una manera más objetiva, cambie y cree las siguientes funciones

void custom_ssl_print_data(const gchar* name, const guchar* data, size_t len){

//Write the following lines 

File *ssl_debug_file;

ssl_debug_file=fopen("directory you want to open the file in","a+");

//Copy original functionality from line 4927

}


void custom_ssl_print_string(const gchar* name, const StringInfo* data){

//Copy original functionality from line 4953
}

Ahora use estas funciones para exportar sus claves a un archivo.

Vaya a la carpeta de origen de wireshark principal.
Ejecutar:

./autogen.sh
./configure
sudo make
sudo make install

y ejecuta Wireshark en la terminal. (Aún debe alimentar wirehark el archivo secreto de premaster exportando la variable de entorno SSLKEYLOGFILE)

Las seis claves se derivan del secreto maestro, el cliente al azar y el servidor al azar. Puede obtener el secreto maestro y el cliente al azar desde SSLKEYLOGFILE. Supongo que puede rastrear el servidor al azar con Wireshark desde el mensaje de intercambio de claves del servidor.

Si tiene esos, puede llamar a algunos función de biblioteca o script en ellos para obtener las seis claves.

La forma en que funciona es que un HMAC se calcula sobre los números aleatorios y el secreto maestro y el resultado se corta en partes para obtener los seis secretos:

  

Para generar el material clave, computar

  key_block = PRF(SecurityParameters.master_secret,
                  "key expansion",
                  SecurityParameters.server_random +
                  SecurityParameters.client_random);

     

hasta que se haya generado suficiente salida. Entonces, el key_block es
  particionado de la siguiente manera:

  client_write_MAC_key[SecurityParameters.mac_key_length]
  server_write_MAC_key[SecurityParameters.mac_key_length]
  client_write_key[SecurityParameters.enc_key_length]
  server_write_key[SecurityParameters.enc_key_length]
  client_write_IV[SecurityParameters.fixed_iv_length]
  server_write_IV[SecurityParameters.fixed_iv_length]

Más información:

• Descifrando TLS con PHP
• Los primeros milisegundos de un HTTPS Conexión
• Diversión con el protocolo de enlace TLS