O-Saft - OWASP SSL advanced forensic tool

Scarica Versione 24.09.24

AVVIO RAPIDO

  o-saft.pl --help
  o-saft.pl +check  your.tld
  o-saft.pl +info   your.tld
  o-saft.pl +quick  your.tld
  o-saft.pl +cipher your.tld
  o-saft.pl --help=commands

  o-saft.tcl      # (semplice GUI; richiede Tcl/Tk 8.5 o successivo)

  o-saft-docker   # (semplice wrapper per chiamare o-saft.pl nell'immagine docker)

  o-saft          # (semplice wrapper per chiamare o-saft.pl o o-saft.tcl o o-saft-docker)

DESCRIZIONE

Questo strumento elenca informazioni sul certificato SSL del target remoto e testa il target remoto secondo una data lista di cipher.

CARATTERISTICHE UNICHE

• funziona in ambienti chiusi, cioè senza connessione internet
• verifica la disponibilità dei cipher indipendentemente dalla libreria installata
• verifica tutti i cipher possibili (fino a 65535 per protocollo SSL)
• richiede solo perl senza moduli per la verifica di cipher e protocolli
• risultati sostanzialmente identici su tutte le piattaforme

PERCHÉ?

Perché un nuovo strumento per la verifica SSL quando nel 2012 esistevano già decine o più buoni strumenti? Alcune (ma non tutte) ragioni sono:

• mancanza di test per cipher insoliti
• risultati diversi per lo stesso controllo sullo stesso target
• funzionalità mancanti (controlli) secondo la moderna SSL/TLS
• mancanza di test per configurazioni inusuali (SSL, certificato)
• (soprattutto) mancanza di possibilità di aggiungere test propri

Per maggiori dettagli, si prega di usare:

  o-saft.pl --help

o leggere il sorgente ;-)

PUBBLICO DI RIFERIMENTO

• penetration tester
• amministratori

INSTALLAZIONE

o-saft.pl richiede i seguenti moduli Perl:

Può essere eseguito direttamente dalla directory estratta o clonata, l'installazione non è necessaria. Tuttavia, viene fornito uno script INSTALL.sh, che può essere chiamato come segue:

I moduli propri sono tutti installati in ./lib.

  INSTALL.sh /path/to/install
  INSTALL.sh --check

Per maggiori dettagli sull'installazione, vedere:

  INSTALL.sh --help

Non ci sono dipendenze da altri moduli Perl per checkAllCiphers.pl, quindi il test di tutti i cipher funziona con esso.

I seguenti file/strumenti sono opzionali:

Fonti

• Home del progetto è https://www.owasp.org/index.php/O-Saft
• Repository del progetto è https://github.com/OWASP/O-Saft
• Home storica del progetto https://www.owasp.org/index.php/Projects/O-Saft

Ottieni una copia (ultima versione stabile)

  wget https://github.com/OWASP/O-Saft/raw/master/o-saft.tgz

Ottieni una copia (versione di sviluppo)

  git clone https://github.com/OWASP/O-Saft.git
  git clone [email protected]:OWASP/O-Saft.git

Ottieni l'immagine Docker (ultima versione stabile)

  docker pull owasp/o-saft

VERSIONE

24.09.24

La versione del tarball o-saft.tgz corrisponde alla versione indicata in cima a questo documento. Tutti gli altri file nel repository possono essere più avanti rispetto alla versione di questo tarball.

Checksum SHA256 di o-saft.tgz

158e33ea4c1f27ac87da3555f811d01bbccdf1756f064d68c144f58aad02eb0e

Checksum SHA256 dell'immagine docker owasp/o-saft:latest e owasp/o-saft:24.09.24

sha256:20b7ce94aa01861b4b3ebd4944c39ee243fee7550e4303e45658703ff5d038b9

NOTA: i checksum elencati qui si riferiscono alle versioni precedenti se questo file proviene da o-saft.tgz stesso, o dall'interno dell'immagine docker.

Modifiche

Un elenco dettagliato delle modifiche è disponibile in CHANGES. Verrà aggiornato ad ogni nuova versione (release).

Versione precedente

Se si desidera utilizzare versioni precedenti, si prega di scaricare il corrispondente o-saft.tgz dalle release di github, vedere: https://github.com/OWASP/O-Saft/releases (a partire da settembre 2024).