droe/sslsplitوكيل شفاف من نوع man-in-the-middle يقوم بإنهاء اتصالات SSL/TLS، ويُزوّر الشهادات بشكل فوري، ويسجل حركة المرور المفكوكة لأغراض التحليل الجنائي للشبكات واختبار الاختراق.
SSLsplit هي أداة لهجمات الرجل في الوسط ضد اتصالات الشبكة المشفرة بـ SSL/TLS. تهدف إلى أن تكون مفيدة في تحليل الطب الشرعي للشبكة، وتحليل أمان التطبيقات، واختبار الاختراق.
تم تصميم SSLsplit لإنهاء الاتصالات التي يتم إعادة توجيهها إليه بشفافية باستخدام محرك ترجمة عنوان الشبكة (NAT). ثم يقوم SSLsplit بإنهاء SSL/TLS وبدء اتصال SSL/TLS جديد بعنوان الوجهة الأصلي، مع تسجيل جميع البيانات المنقولة. بالإضافة إلى التشغيل القائم على NAT، يدعم SSLsplit أيضًا الوجهات الثابتة واستخدام اسم الخادم المشار إليه بواسطة SNI كوجهة منبع. SSLsplit هو وكيل شفاف بحت ولا يمكنه العمل كوكيل HTTP أو SOCKS مهيأ في المتصفح.
يدعم SSLsplit اتصالات TCP العادية وSSL العادية وHTTP وHTTPS عبر كل من IPv4 وIPv6. لديه أيضًا القدرة على ترقية TCP العادي إلى SSL بشكل ديناميكي لدعم SMTP STARTTLS وآليات الترقية المماثلة بشكل عام. يدعم SSLsplit بالكامل مؤشر اسم الخادم (SNI) وقادر على العمل مع مفاتيح RSA وDSA وECDSA ومجموعات التشفير DHE وECDHE. اعتمادًا على إصدار OpenSSL المبني ضده، يدعم SSLsplit SSL 3.0 وTLS 1.0 وTLS 1.1 وTLS 1.2، وأيضًا SSL 2.0 اختياريًا.
بالنسبة لاتصالات SSL وHTTPS، يقوم SSLsplit بإنشاء وتوقيع شهادات X509v3 مزورة أثناء التنقل، محاكياً DN الموضوع وامتداد subjectAltName والخصائص الأخرى لشهادة الخادم الأصلية. لدى SSLsplit القدرة على استخدام الشهادات الحالية التي يتوفر مفتاحها الخاص، بدلاً من إنشاء شهادات مزورة. يدعم SSLsplit شهادات CN ذات البادئة NULL ولكن بخلاف ذلك لا ينفذ استغلالات ضد ثغرات التحقق من الشهادات المحددة في حزم SSL/TLS.
ينفذ SSLsplit عددًا من الدفاعات ضد الآليات التي قد تمنع عادةً هجمات الرجل في الوسط أو تجعلها أكثر صعوبة. يمكن لـ SSLsplit رفض طلبات OCSP بطريقة عامة. بالنسبة لاتصالات HTTP وHTTPS، يقوم SSLsplit بتشويه الرؤوس لمنع تثبيت المفتاح العام الموجه من الخادم (HPKP)، وتجنب قيود أمان النقل الصارمة (HSTS)، وتجنب تطبيق شفافية الشهادة (Expect-CT)، ومنع التبديل إلى QUIC/SPDY أو HTTP/2 أو WebSockets (الترقية، البروتوكولات البديلة). يتم تعطيل ضغط HTTP والترميزات والاتصال المستمر لجعل السجلات أكثر قابلية للقراءة.
تشمل خيارات التسجيل ملفات سجل الاتصال والمحتوى التقليدية لـ SSLsplit بالإضافة إلى ملفات PCAP وعكس حركة المرور المفككة إلى واجهة شبكة. بالإضافة إلى ذلك، يمكن تسجيل الشهادات والأسرار الرئيسية ومعلومات العملية المحلية.
انظر صفحة الدليل sslsplit(1) للحصول على تفاصيل حول استخدام SSLsplit وإعداد محركات NAT المختلفة.
يعتمد SSLsplit على مكتبات OpenSSL وlibevent 2.x وlibpcap وlibnet 1.1.x افتراضيًا؛ لا حاجة إلى libpcap وlibnet إذا تم حذف ميزة العكس. يعتمد البناء على GNU make وبيئة POSIX.2 في PATH. إذا كان متاحًا، يتم استخدام pkg-config لتحديد موقع التبعيات وتكوينها. تعتمد اختبارات الوحدة الاختيارية على مكتبة check.
يدعم SSLsplit حاليًا أنظمة التشغيل وآليات NAT التالية:
دعم معلومات العملية المحلية (-i) متاح حاليًا على Mac OS X وFreeBSD.
تعتمد ميزات SSL/TLS والتوافق بشكل كبير على إصدار OpenSSL المرتبط. للحصول على أفضل النتائج، استخدم إصدارًا حديثًا من OpenSSL أو LibreSSL.
مع توفر المتطلبات أعلاه، قم بتشغيل:
make
make test # optional unit tests
make sudotest # optional unit tests requiring privileges
make install # optional install
يتم تكوين التبعيات تلقائيًا باستخدام pkg-config. إذا لم يتم التقاط التبعيات ولم يساعد إصلاح PKG_CONFIG_PATH، يمكنك تحديد مواقعها يدويًا عن طريق تعيين OPENSSL_BASE وLIBEVENT_BASE وLIBPCAP_BASE وLIBNET_BASE و/أو CHECK_BASE إلى البادئات الخاصة بها.
يمكنك تجاوز بادئة التثبيت الافتراضية (/usr/local) عن طريق تعيين PREFIX. لمزيد من خيارات البناء والإعدادات الافتراضية أثناء البناء، راجع GNUmakefile و defaults.h.
راجع صفحات الدليل sslsplit(1) و sslsplit.conf(5) للحصول على توثيق المستخدم. راجع NEWS.md لملاحظات الإصدار التي تسرد التغييرات الهامة بين الإصدارات و SECURITY.md للحصول على معلومات حول الإفصاح عن الثغرات الأمنية.
يتم توفير SSLsplit بموجب ترخيص BSD ثنائي البنود. يحتوي SSLsplit على مكونات مرخصة بموجب تراخيص MIT وAPSL. راجع LICENSE و LICENSE.contrib و LICENSE.third بالإضافة إلى رؤوس ملفات المصدر الخاصة بها للحصول على التفاصيل.
راجع AUTHORS.md للحصول على قائمة المساهمين.
تم استلهام SSLsplit من mitm-ssl بواسطة Claes M. Nyberg و sslsniff بواسطة Moxie Marlinspike، لكنه لا يشاركهما في أي كود مصدر.