Hoe ontsleutel ik TLS-verkeer voor probleemoplossing?

Op een machine die u beheert, is de eenvoudigste manier de client zijn sessiesleutels naar een bestand te laten schrijven en dat bestand in Wireshark te laden. Browsers en veel commandoregeltools op basis van OpenSSL of NSS respecteren de omgevingsvariabele SSLKEYLOGFILE: stel die in, reproduceer het probleem terwijl u met Wireshark of tcpdump vastlegt, en wijs in de TLSTLS: Transport Layer Security. De versleuteling die het meeste internetverkeer beschermt, zoals HTTPS.-instellingen van Wireshark het sleutellog aan. Dat werkt ook bij TLS 1.3, waar de privésleutel van de server niet meer volstaat. Op een eigen server kunnen sommige webservers en proxy's ook sleutels loggen, of u test tegen een testkopie met logging aan. Behandel sleutellogs als wachtwoorden: wie het bestand en de opname heeft, kan het verkeer lezen, dus verwijder beide na afloop en verzamel ze nooit van andermans apparaten zonder duidelijke grondslag en zonder dat zij het weten. Voor dagelijkse monitoring is ontsleuteling zelden nodig: flowmetadata en de onversleutelde handshake beantwoorden de meeste vragen over wie met wie praat en hoe.

← Alle 40 vragen over Versleuteling en versleuteld verkeerAlle onderwerpen