droe/sslsplitProxy intermediario transparente que termina conexiones SSL/TLS, falsifica certificados sobre la marcha y registra el tráfico descifrado para fines de análisis forense de redes y pruebas de penetración.
SSLsplit es una herramienta para ataques de intermediario (man-in-the-middle) contra conexiones de red cifradas con SSL/TLS. Está diseñada para ser útil en análisis forense de redes, análisis de seguridad de aplicaciones y pruebas de penetración.
SSLsplit está diseñado para terminar de forma transparente las conexiones que se redirigen a él mediante un motor de traducción de direcciones de red (NAT). Luego, SSLsplit finaliza SSL/TLS e inicia una nueva conexión SSL/TLS a la dirección de destino original, registrando todos los datos transmitidos. Además de la operación basada en NAT, SSLsplit también admite destinos estáticos y el uso del nombre de servidor indicado por SNI como destino upstream. SSLsplit es puramente un proxy transparente y no puede actuar como un proxy HTTP o SOCKS configurado en un navegador.
SSLsplit admite conexiones TCP simple, SSL simple, HTTP y HTTPS tanto sobre IPv4 como IPv6. También tiene la capacidad de actualizar dinámicamente TCP simple a SSL para soportar de forma genérica SMTP STARTTLS y mecanismos de actualización similares. SSLsplit admite completamente la Indicación de Nombre de Servidor (SNI) y puede trabajar con claves RSA, DSA y ECDSA y conjuntos de cifrado DHE y ECDHE. Dependiendo de la versión de OpenSSL con la que se compile, SSLsplit soporta SSL 3.0, TLS 1.0, TLS 1.1 y TLS 1.2, y opcionalmente también SSL 2.0.
Para conexiones SSL y HTTPS, SSLsplit genera y firma certificados X509v3 falsificados sobre la marcha, imitando el DN del sujeto, la extensión subjectAltName y otras características del certificado del servidor original. SSLsplit tiene la capacidad de usar certificados existentes de los cuales se dispone de la clave privada, en lugar de generar falsificados. SSLsplit admite certificados CN con prefijo NULL, pero por lo demás no implementa exploits contra vulnerabilidades específicas de verificación de certificados en pilas SSL/TLS.
SSLsplit implementa una serie de defensas contra mecanismos que normalmente impedirían los ataques MitM o los dificultarían. SSLsplit puede denegar solicitudes OCSP de forma genérica. Para conexiones HTTP y HTTPS, SSLsplit modifica las cabeceras para evitar el pinning de claves públicas instruido por el servidor (HPKP), evitar las restricciones de seguridad de transporte estricto (HSTS), evitar la aplicación de Transparencia de Certificados (Expect-CT) y evitar el cambio a QUIC/SPDY, HTTP/2 o WebSockets (Upgrade, Alternate Protocols). La compresión HTTP, las codificaciones y el keep-alive se deshabilitan para que los registros sean más legibles.
Las opciones de registro incluyen archivos de registro tradicionales de conexión y contenido de SSLsplit, así como archivos PCAP y la duplicación del tráfico descifrado a una interfaz de red. Además, se pueden registrar certificados, secretos maestros e información de procesos locales.
Consulte la página de manual sslsplit(1) para obtener detalles sobre el uso de SSLsplit y la configuración de los distintos motores NAT.
SSLsplit depende de las bibliotecas OpenSSL, libevent 2.x, libpcap y libnet 1.1.x de forma predeterminada; libpcap y libnet no son necesarias si se omite la funcionalidad de duplicación. La compilación depende de GNU make y un entorno POSIX.2 en PATH. Si está disponible, se utiliza pkg-config para localizar y configurar las dependencias. Las pruebas unitarias opcionales dependen de la biblioteca check.
SSLsplit actualmente es compatible con los siguientes sistemas operativos y mecanismos NAT:
El soporte para información de procesos locales (-i) está disponible actualmente en Mac OS X y FreeBSD.
Las características y la compatibilidad de SSL/TLS dependen en gran medida de la versión de OpenSSL con la que se enlace. Para obtener resultados óptimos, utilice una versión reciente de OpenSSL o LibreSSL.
Con los requisitos anteriores disponibles, ejecute:
make
make test # optional unit tests
make sudotest # optional unit tests requiring privileges
make install # optional install
Las dependencias se autoconfiguran usando pkg-config. Si las dependencias no se detectan y ajustar PKG_CONFIG_PATH no ayuda, puede especificar sus ubicaciones respectivas manualmente definiendo OPENSSL_BASE, LIBEVENT_BASE, LIBPCAP_BASE, LIBNET_BASE y/o CHECK_BASE con los prefijos correspondientes.
Puede anular el prefijo de instalación predeterminado (/usr/local) definiendo PREFIX. Para más opciones de compilación y valores predeterminados en tiempo de compilación, consulte GNUmakefile y defaults.h.
Consulte las páginas de manual sslsplit(1) y sslsplit.conf(5) para la documentación de usuario. Consulte NEWS.md para las notas de la versión que enumeran cambios significativos entre versiones y SECURITY.md para obtener información sobre la divulgación de vulnerabilidades de seguridad.
SSLsplit se proporciona bajo una licencia BSD de 2 cláusulas. SSLsplit contiene componentes bajo las licencias MIT y APSL. Consulte LICENSE, LICENSE.contrib y LICENSE.third, así como los encabezados de los archivos fuente respectivos para más detalles.
Consulte AUTHORS.md para la lista de contribuyentes.
SSLsplit se inspiró en mitm-ssl de Claes M. Nyberg y sslsniff de Moxie Marlinspike, pero no comparte código fuente con ellos.