droe/sslsplit透過型の中間者プロキシで、SSL/TLS接続を終端し、その場で証明書を偽装し、復号化したトラフィックをログに記録して、ネットワークフォレンジックやペネトレーションテストに利用します。
SSLsplitは、SSL/TLS暗号化ネットワーク接続に対する中間者攻撃のためのツールです。ネットワークフォレンジック、アプリケーションセキュリティ分析、ペネトレーションテストに役立つことを目的としています。
SSLsplitは、ネットワークアドレス変換エンジンを使用してリダイレクトされた接続を透過的に終了するように設計されています。SSLsplitはSSL/TLSを終了し、元の宛先アドレスに対して新しいSSL/TLS接続を開始し、送信されたすべてのデータをログに記録します。NATベースの動作に加えて、SSLsplitは静的宛先や、SNIで示されたサーバー名を上流の宛先として使用することもサポートしています。SSLsplitは純粋に透過プロキシであり、ブラウザで構成されるHTTPやSOCKSプロキシとして機能することはできません。
SSLsplitは、IPv4とIPv6の両方でプレーンTCP、プレーンSSL、HTTP、HTTPS接続をサポートしています。また、SMTP STARTTLSや同様のアップグレードメカニズムを汎用的にサポートするために、プレーンTCPからSSLへの動的アップグレード機能も備えています。SSLsplitはServer Name Indication (SNI)を完全にサポートし、RSA、DSA、ECDSA鍵、およびDHE、ECDHE暗号スイートで動作できます。ビルド時のOpenSSLのバージョンに応じて、SSLsplitはSSL 3.0、TLS 1.0、TLS 1.1、TLS 1.2をサポートし、オプションでSSL 2.0もサポートします。
SSLおよびHTTPS接続に対して、SSLsplitは元のサーバー証明書のサブジェクトDN、subjectAltName拡張、およびその他の特性を模倣した偽造X509v3証明書をオンザフライで生成し署名します。SSLsplitは、偽造証明書を生成する代わりに、秘密鍵が利用可能な既存の証明書を使用することもできます。SSLsplitはNULLプレフィックスCN証明書をサポートしていますが、それ以外にSSL/TLSスタックの特定の証明書検証の脆弱性に対するエクスプロイトを実装していません。
SSLsplitは、通常は中間者攻撃を防止したり困難にしたりするメカニズムに対する多くの防御策を実装しています。SSLsplitはOCSPリクエストを汎用的に拒否できます。HTTPおよびHTTPS接続に対して、SSLsplitはヘッダーを改変して、サーバー指示による公開鍵ピンニング(HPKP)を防止し、厳格なトランスポートセキュリティ制限(HSTS)を回避し、証明書透過性の強制(Expect-CT)を回避し、QUIC/SPDY、HTTP/2、WebSocketへの切り替え(Upgrade、Alternate Protocols)を防止します。ログを読みやすくするために、HTTP圧縮、エンコーディング、キープアライブは無効化されます。
ログオプションには、従来のSSLsplit接続ログファイルとコンテンツログファイルに加えて、PCAPファイルや復号化されたトラフィックのネットワークインターフェースへのミラーリングが含まれます。さらに、証明書、マスターシークレット、ローカルプロセス情報をログに記録できます。
SSLsplitの使用方法やさまざまなNATエンジンの設定の詳細については、マニュアルページ sslsplit(1) を参照してください。
SSLsplitはデフォルトでOpenSSL、libevent 2.x、libpcap、libnet 1.1.xライブラリに依存します。ミラーリング機能を省略する場合、libpcapとlibnetは不要です。ビルドはGNU makeとPATH内のPOSIX.2環境に依存します。利用可能な場合、pkg-configを使用して依存関係の場所を特定し構成します。オプションの単体テストはcheckライブラリに依存します。
SSLsplitは現在、以下のオペレーティングシステムとNATメカニズムをサポートしています。
ローカルプロセス情報（-i）のサポートは現在、Mac OS XとFreeBSDで利用可能です。
SSL/TLSの機能と互換性は、リンクされているOpenSSLのバージョンに大きく依存します。最良の結果を得るには、OpenSSLまたはLibreSSLの最新リリースを使用してください。
上記の要件が利用可能な状態で、以下を実行してください：
make
make test # optional unit tests
make sudotest # optional unit tests requiring privileges
make install # optional install
依存関係はpkg-configを使用して自動構成されます。依存関係が検出されず、PKG_CONFIG_PATHの修正が役に立たない場合は、OPENSSL_BASE、LIBEVENT_BASE、LIBPCAP_BASE、LIBNET_BASE、CHECK_BASEをそれぞれのプレフィックスに設定して、手動で場所を指定できます。
デフォルトのインストールプレフィックス（/usr/local）はPREFIXを設定することで上書きできます。その他のビルドオプションとビルド時のデフォルトについては、GNUmakefileおよびdefaults.hを参照してください。
ユーザードキュメントについては、マニュアルページsslsplit(1)およびsslsplit.conf(5)を参照してください。リリース間の重要な変更を記載したリリースノートについてはNEWS.mdを、セキュリティ脆弱性の開示に関する情報についてはSECURITY.mdを参照してください。
SSLsplitは2条項BSDライセンスの下で提供されています。
SSLsplitにはMITおよびAPSLライセンスの下でライセンスされたコンポーネントが含まれています。
詳細については、LICENSE、LICENSE.contrib、LICENSE.third、および各ソースファイルのヘッダーを参照してください。
貢献者のリストについてはAUTHORS.mdを参照してください。
SSLsplitは、Claes M. Nybergによるmitm-sslとMoxie Marlinspikeによるsslsniffに触発されましたが、それらとはソースコードを共有していません。