Crack-wifi.com FORUM

LE FORUM DU SITE

Wifi, Backtrack, crack WEP et WPA...

Vous n'êtes pas identifié(e).  

Annonce

Visitez la boutique Wifi-highpower.com, votre revendeur agr Alfa Network: du matriel Wifi slectionn, cartes Wifi USB Awus036h et Awus036nh, antennes omnis, yagis, panel, amplis wifi, accessoires...

#1 07-06-2011 09:54:50

ronin
Membre Radioactif
Inscription : 08-05-2011
Messages : 82
Site Web

Outils de sniff SSL

Bonjour à tous,

J'ai pas mal expérimenté dernièrement avec différentes techniques pour sniffer le traffic ssl.

sslstrip
ettercap
webmitm

Je me demandais si vous en connaissiez d'autres qui présenteraient des avantages ou des
fonctionnalités différentes ? Particulièrement est il possible de sniffer du ssl sans avoir
le popup de certificat invalide tout en conservant une connexion ssl (pas comme sslstrip)

Sur ce sujet je me demandais s'il n'était pas possible de placer son propre certificat sur
la cible afin d'éviter le popup.

Merci !

Hors Ligne

Annonce

Visitez la boutique Wifi-highpower.com, votre revendeur agr Alfa Network: du matriel Wifi slectionn, cartes Wifi USB Awus036h et Awus036nh, antennes omnis, yagis, panel, amplis wifi, accessoires...

#2 07-06-2011 10:45:11

antares145
Membre d'honneur
Inscription : 29-09-2009
Messages : 5 199
Site Web

Re : Outils de sniff SSL

est il possible de sniffer du ssl sans avoir le popup de certificat invalide tout en conservant une connexion ssl (pas comme sslstrip)

Non, ça pour l'instant c'est mort hmm Le problème, c'est qu'une clé publique SSL générera ce genre de messages dès qu'elle n'est pas signée (certificat) par une "autorité de certification" reconnue genre Verisign. Et ces gens-là n'ont pas pour habitude de signer tout et n'importe quoi (leur business dépend de la confiance qu'on a en eux) wink

Sur ce sujet je me demandais s'il n'était pas possible de placer son propre certificat sur la cible afin d'éviter le popup.

Là par contre, ça devrait être possible mais je n'ai jamais creusé la question. Tu génères ta clé SSL, ainsi que le certificat qui dit "oui, cette clé appartient bien à un hôte de confiance", tu installes le certificat en question sur l'ordi-cible, et quand ladite cible se verra proposer ta clé SSL lors d'une attaque, elle trouvera dans ses certificats la preuve que la clé est de confiance : pas d'avertissement. Le vrai challenge étant d'installer le certificat sur l'ordi-cible wink

Je sais par exemple que l'ancien gouvernement tunisien aurait eu un accord avec Microsoft pour implanter leur certificat-maison dans Internet Explorer, et pouvoir (potentiellement) se lancer dans le sniff SSL à grande échelle
--> Tiens, regardez qui s'est invité [sebsauvage.net]
Certaines entreprises en profitent aussi pour se donner les moyens de surveiller ce qui passe en SSL sur leur réseau
--> Je suis content d'utiliser CertPatrol [sebsauvage.net]

Plus de détails sur le fonctionnement du SSL --> Les certificats SSL ne suffisent plus [sebsauvage.net]
Plus de détails pour la création d'une clé et de son certificat --> How to generate custom SSL certificates

Hors Ligne

#3 07-06-2011 11:27:24

ronin
Membre Radioactif
Inscription : 08-05-2011
Messages : 82
Site Web

Re : Outils de sniff SSL

Merci beaucoup pour les infos. J'avais aussi entendu parler des fournisseurs d'accès qui utilisaient
un certificat ssl à eux pour sniffer le traffic et pour afficher des pubs ciblées.
Par contre ça me parait bizarre qu'un certificat ne soit pas associé à un nom de domaine. Ca veut dire qu'avec un faut certif installé chez la victime on peut faussement crypter en ssl tout le traffic. Ca me parait presque trop simple. Je vais potasser la doc

Hors Ligne

#4 08-06-2011 16:26:26

antares145
Membre d'honneur
Inscription : 29-09-2009
Messages : 5 199
Site Web

Re : Outils de sniff SSL

Par contre ça me parait bizarre qu'un certificat ne soit pas associé à un nom de domaine.

Le SSL repose sur la cryptographie asymétrique (clé publique/clé privée). Quand tu te connectes à un site, celui-ci te propose d'utiliser sa clé publique, et cette clé publique est signée (pour être sûr que quelqu'un ne puisse pas la modifier). Le site te propose également son propre certificat, qui te permet de vérifier la signature de la clé et qui te dit "La clé untel correspond à tel nom de domaine". Le problème, c'est que n'importe qui peut créer ce genre de certificat, donc il ne sont pas fiables. Les sites sérieux font donc signer leurs certificats par des boîtes comme Verisign ou Thawte, qui garantissent que le certificat proposé est bien légitime (il a été vérifié). Si un certificat signé par Verisign te dit "Telle clé correspond à gmail.com" (par exemple), tu peux lui faire confiance.

Tu as donc un double certificat : un qui garantit l'authenticité de la clé, et un qui garantit l'authenticité du certificat de la clé. On pourrait encore jouer longtemps comme ça (un certificat pour le certificat du certificat ?), donc ce qu'on fait c'est que les certificats racines (ceux de Verisign) sont auto-signés et intégrés aux navigateurs en tant que "autorité de confiance". Tout certificat signé par cette autorité de confiance est considéré comme fiable, donc tu n'as pas d'avertissement. Si tu arrives à injecter ta propre autorité de confiance dans le navigateur-victime, c'est bingo tes certificats seront considérés comme "vérifiés" smile

Tu peux vérifier tout ça par exemple avec Firefox : quand tu es sur un site SSL, tu as un bouton de couleur à gauche de la barre d'adresse. Si tu cliques dessus, tu peux demander d'avoir "plus d'informations" sur le certificat et ainsi voir son "numéro de série" (en fait, la fin de la clé publique), ses empreintes MD5 et SHA1 (pour vérifier l'intégrité), ainsi que l'autorité de certification qui valide le certificat proposé par Gmail.En gros :

[Clé publique]>Signature Gmail ==> [Certificat Gmail pour vérifier la signature Gmail]>Signature Thawte ==> [Certificat Thawte pour vérifier la signature Thawte]>Auto-signature

Et les auto-signatures sont vérifiées par le navigateur en fonction de ce qu'il trouve dans ses autorités intégrées.

J'espère que c'est un peu plus clair smile

Hors Ligne

#5 08-06-2011 16:54:08

ronin
Membre Radioactif
Inscription : 08-05-2011
Messages : 82
Site Web

Re : Outils de sniff SSL

Merci beaucoup pour cette réponse très clair !

Hors Ligne

Annonce

Visitez la boutique Wifi-highpower.com, votre revendeur agr Alfa Network: du matriel Wifi slectionn, cartes Wifi USB Awus036h et Awus036nh, antennes omnis, yagis, panel, amplis wifi, accessoires...

Pied de page des forums


Le coin des bonnes affaires, achats informatiques:


|   Alfa 1000 mW AWUS036H   |    Linksys WRT54GL   |    Misco, informatique   |   
 |    Ebay   |    PC portables   |    PC Gamers & Tuning   |    Cles USB   |   
|   Disques durs externes 2 To   |   
|   Wifi-highpower.com   |   


Server Stats - [ Generated in 0.029 seconds ]   Forum Stat - [ Most users ever online on the forum was : 150 on 20-09-2009 17:06:59 ]