Interceptar el tráfico SSL en la aplicación de Android

Question

Interceptar el tráfico SSL en la aplicación de Android

#1 de rook (5 votos)
#2 de Anto Joseph (1 votos)
#3 de Snehal Raut (1 votos)

5

Estoy intentando interceptar el tráfico SSL de mi aplicación de Android para probar la seguridad. Estoy usando la fijación de certificados con la esperanza de que pueda evitar que las personas fisgoneen. Lo he probado configurando ProxyDroid para enrutar el tráfico a través de mi proxy, para lo cual he usado Fiddler y Charles. Sin embargo, obtengo resultados diferentes con los dos softwares de servidor proxy.

Con Fiddler no pude interceptar el tráfico y mi aplicación no se puede conectar al servidor. Incluso importé manualmente el certificado raíz de Fiddler en / system / etc / security / cacerts y verifiqué que aparece en el almacén de confianza del sistema, pero aún así mi aplicación se comporta como debería.

Sin embargo, con Charles, ni siquiera tuve que importar el certificado raíz a mi teléfono Android. Fuera de la caja, pude interceptar todo el tráfico SSL entre mi aplicación y mi servidor.

Así que mi pregunta es, ¿cómo es posible que Charles logre esto a pesar de que Fiddler no puede hacerlo?

tls certificates man-in-the-middle android proxy

pregunta blizz 02.11.2014 - 04:29

fuente

3 respuestas

Lea otras preguntas en las etiquetas tls certificates man-in-the-middle android proxy

Se requiere iniciar sesión antes de SQLmap Interrumpir los intentos de secureserver.net

score 5 · Answer 1

Si el proxy de Charles puede interceptar el tráfico SSL / TLS, la validación del certificado ha fallado. Esto demuestra que el dispositivo móvil no está verificando correctamente el certificado del servidor.

En una evaluación de seguridad móvil, la fijación de certificados puede deshabilitarse conectando la implementación SSL / TLS de la plataforma y cambiando el funcionamiento de la validación de certificados. Un ejemplo de este ataque es la bypass SSL de Android o iOS SSL killswitch .

score 1 · Answer 2

Debería haber alguna falla en el código de anclaje del certificado que ha escrito para su aplicación.

Si el anclaje del certificado se realizó correctamente, ningún proxy puede interceptar el tráfico, suponiendo que no esté manipulando la aplicación.

Le sugeriría que consulte algunos ejemplos excelentes sobre cómo implementar el anclaje de certificados aquí .

score 1 · Answer 3

La mayoría de las veces es posible interceptar el tráfico de la aplicación incluso si ha implementado la fijación de certificados para la aplicación, pero la solicitud debe cifrarse cuando haya interceptado utilizando el proxy de Charles. Pero es posible interceptar el tráfico usando SSLBypass, SSL Trust Killer, iOS SSL Kill Switch usando un proxy como Burp.