mitmproxy mit eigener CA?

[Leseratte10]

Hallo zusammen,

ich habe hier ein Gerät (mit irgendeinem proprietären Betriebssystem), welches SSL-Verbindungen zu einem bestimmten Host aufbaut.

Das SSL-Rootzertifikat, welches das Subzertifikat für diesen Host ausgestellt hat, ist im Gerät verankert, ich habe allerdings mittlerweile herausgefunden, wie ich das austauschen kann.

Weil das aber aufwändig ist, würde ich gerne dieses Root-Zertifikat gegen eine einmalig selbst erstellte (openssl) Root-CA austauschen, damit ich mit mitmproxy den Datenverkehr abhören kann, ohne das mitmproxy-Zertifikat importieren zu müssen. Dann funktioniert das nämlich auch unkompliziert auf mehreren Rechnern.

Ich habe nun zwei Fragen zu "mitmproxy":

1. Kann ich nun das Zertifikat von mitmproxy irgendwie mit meiner Root-CA "signieren", damit das mitmproxy-Zertifikat (ohne dass ich es ins Gerät einbinden muss) als gültig erkannt wird?

2. Kann ich mitmproxy beibringen, dass es zwar SSL (HTTPS) mit dem Client spricht, die Anfrage aber über HTTP an den Server weitergibt?

Wenn das nicht geht, kennt einer einen alternativen SSL-Sniffer, mit dem das möglich ist?

Leseratte10

EDIT: War hier nicht grade schon ne Antwort?

Nochmal zur Klarstellung:

Ich bin in der Lage, dieses selbsterzeugte CA-Zertifikat in das Gerät "einzufügen", sodass es als gültig zählt. Ich wäre also in der Lage, mit meiner selbsterzeugten und importierten CA beliebige Zertifikate für Seiten auszustellen, die dann von dem Gerät als gültig angesehen werden.

Jetzt will ich aber mitmproxy nutzen. Dafür muss ich aber mitmproxy beibringen, keine eigene, weitere CA zu erzeugen, sondern seine nötigen Zertifkate von meiner bereits erstellen, importierten (und somit gültigen) CA erstellen zu lassen.

 

[Gelöschtes Mitglied 17683]

Ich habe nun zwei Fragen zu "mitmproxy":

1. Kann ich nun das Zertifikat von mitmproxy irgendwie mit meiner Root-CA "signieren", damit das mitmproxy-Zertifikat (ohne dass ich es ins Gerät einbinden muss) als gültig erkannt wird?

SSL ist eine Vertrauenskette. Du musst dein Zertifikat also nur von einer CA unterschreiben lassen, dem dein Gerät bereits vertraut. Das ist zwar nicht unmöglich, aber etwas aufwändig.

2. Kann ich mitmproxy beibringen, dass es zwar SSL (HTTPS) mit dem Client spricht, die Anfrage aber über HTTP an den Server weitergibt?

Hier gab es in der Vergangenheit immer wieder Downgrade-Angriffe, z.B.
http://www.g-sec.lu/practicaltls.pdf
Moxie Marlinspike >> Software >> sslstrip

Nochmal zur Klarstellung:

Ich bin in der Lage, dieses selbsterzeugte CA-Zertifikat in das Gerät "einzufügen", sodass es als gültig zählt. Ich wäre also in der Lage, mit meiner selbsterzeugten und importierten CA beliebige Zertifikate für Seiten auszustellen, die dann von dem Gerät als gültig angesehen werden.

Jetzt will ich aber mitmproxy nutzen. Dafür muss ich aber mitmproxy beibringen, keine eigene, weitere CA zu erzeugen, sondern seine nötigen Zertifkate von meiner bereits erstellen, importierten (und somit gültigen) CA erstellen zu lassen.

Ich verstehe dein Problem gerade nicht. Wenn du doch bereits ein Zertifikat ausgestellt und signiert hast, dem dein Gerät vertraut, wieso weist du mitmproxy dann nicht einfach an dieses Zertifikat zu verwenden? Siehe: mitmproxy 0.10 - Overview