DH es punto a punto de intercambio de claves. El mejor método es romper el cifrado y reconstruir un túnel diferente al punto final de la red. Esto causará alta carga.
La mayoría de las corporaciones, tan pronto como el paquete ingresa en su red segura, son reenviadas para permitir el análisis sin impacto en el rendimiento.
Creo que la mayoría de los dispositivos no pueden oler ese tipo de tráfico, así que necesitarás romper el túnel.
Incluso si tiene la clave privada, el par de claves generado por DH se encuentra entre el origen y el destino, los sistemas intermedios no podrán obtener la clave.
Lo que quiero decir al romper el túnel es que sus dispositivos tengan sus propios certificados y claves privadas del mismo modo que los servidores y que actúen como punto final de la comunicación.
[agregado]
Genere su herramienta csr y solicite certificados para cada sitio que tenga. Si es el propietario de los sitios, no será un problema y podrá leer el tráfico. De la misma manera que si su dispositivo fuera un servidor web.
Muchas herramientas no lo permiten. Otros lo permiten, pero lo restringen a una pequeña cantidad de servidores virtuales alojados.
La recopilación de las claves privadas de los servidores web podría no ser suficiente. Tienes que romper el túnel y no escuchar a escondidas.
Para obtener las claves privadas de cada sitio. El certificado del sitio debe ser exportable, debe conocer la contraseña, si existe, y exportarla a un archivo (clave privada), luego en sus ID debe proceder a su importación. Pero eso es probablemente lo que ya ha hecho debido al hecho de que su declaración dice que puede leer el tráfico, solo que no es posible un DH específico ... :)
El proceso de exportación de las claves cambia un poco si tiene una ventana o un Linux, fácil de encontrar en Internet.
¿Por qué puede leer TLS_ECDHE_RSA_WITH_AES_256_GCM_S HA384? No están usando Diffie-Hellman Ephemeral (DHE / EDH) o RSA Ephemeral cifrado para intercambiar claves, pero la curva eclíptica. Si detecta los paquetes y ve si el conjunto de cifrado especificado comienza con TLS_DHE o SSL_DHE, no podrá descifrar los datos.