誰かがフィドラーを使ってhttpsを通過するデータを見ることができますか？

誰かが、これが正しくないと教えてください。リンクthisを読むと、フィドラー経由でHTTPSトラフィックを暗号化解除できるようです。私がhttps経由でオンラインバンキングを行っているのであれば、このトラフィックを傍受して自分のアカウントを読み取って重要な情報を読み取ることができる人ですか？誰かがフィドラーを使ってhttpsを通過するデータを見ることができますか？

出典

2012-02-27 palm snow

Fiddlerは独自のSSL証明書を使用してブラウザの警告をトリガーします：あなたがこれらの警告によって適切に抑止されている場合、誰もあなたのオンラインバンキングセッションを知りません。 enter image description here

この機能の詳細については、public-key cryptographyを参照してください。

出典

2012-02-27 21:57:01 grossvogel

私のコンセプトはまったく間違っているかもしれませんが、トラフィックをクライアントマシン上の証明書と一致させることによってのみ抽出できます。 fiddlerに独自の証明書がある場合、別の証明書で暗号化されたトラフィックをどのように復号化することができますか –

実際にFiddlerは（少なくともHTTPSを有効にすると、デフォルトでは）ルート証明書をIEの証明書ストアにインストールします。、少なくともInternet Explorerで。 –

@ JoachimIsaksson：ああ...私はそれを知らなかった。ありがとう。 – grossvogel

fiddlerが発行したssl証明書を受け入れる必要がありますが、はい、siddlトラフィックをfiddlerで監視できます。少し深く掘り下げてみると、MITM攻撃のためのより洗練されたツールがあります：https://www.owasp.org/index.php/Category:OWASP_WebScarab_Project

出典

2012-02-27 21:55:44 Andreas

私はそれを得るかどうかわかりません。銀行はCAから発行された別の証明書を持っています。フィドラーはその証明書を使用できますか？または、フィドラーが独自の証明書を持っている場合、銀行が使用する別の証明書で暗号化されたデータを表示するために、どのように使用できますか？ –

Fiddlerは、オンラインバンキングアカウントから取得した証明書を使用して、フィドラーとあなたのSSLで保護されたオンラインバンキングページ間のSSL接続を構築します（@ grossvogelは既に技術情報を投稿しています）。 Fiddlerは、自己署名証明書を使用してキャプチャされたトラフィックをブラウザに戻し、ブラウザにSSL暗号化された接続が表示されるようにします。 – Andreas

Fiddlerでは、HTTPSトラフィックを受信できる特別なSSLルート証明書をインストールする必要があります。それをインストールすると、Fiddlerはインターネット上のすべてのHTTPSサイトであると見なして、プロキシ（仲介者）として自身をインストールできます。一言で言えば、それはHTTPSを介してすべてを聞くことができますが、許可するには手動で証明書を手動でインストールする必要があります。

理論上、あなたのマシンにインストールするルート証明書（Fiddlerかどうか）によって、インターネットサイトを偽装することができます。

FiddlerはSSLの用語として、自分のマシンに認証局としてインストールされます。仲介業者として機能しているHTTPSサイトにアクセスすると、問題のサイトであると主張する証明書がすぐに生成されます。ルート証明書はあなたのマシン上にあるので、Fiddlerの証明書を信頼し、すべてを解読できるようにします。

出典

2012-02-27 22:01:31

誰かがフィドラーを使ってhttpsを通過するデータを見ることができますか？

答えて

関連する問題