TLS einfach so im Klartext lesen

vorhergehende Artikel in: Linux Security
03.09.2023

Ich las neulich einen Artikel, der mich - ich gebe es zu - ein wenig aufgeschreckt hat. Der Artikel beschrieb letztlich, dass man jede verschlüsselte Kommunikation, die auf TLS basiert relativ problemlos im Klartext mitlesen kann - solange sie die TLS-Implementierung dynamisch linkt...

Das Repository dazu beschreibt die notwendigen Voraussetzungen ein wenig genauer - folgende Bibliotheken sind bereits betroffen:

  • OpenSSL
  • rustls
diese dagegen noch (?) nicht:

  • go crypto/tls
  • NSS
  • GnuTLS
  • boringssl
Nichtsdestotrotz wollte ich mir das praktisch ansehen. Ich folgte der README, allerdings sind hier noch einige Stolpersteine verborgen: zunächst einmal wird meiner Ansicht nach nicht genug betont, dass es wirklich eines nightly-Build von Rust bedarf, um das Projekt zu bauen. Die Fehlermeldungen, die man erhält wenn man dies missachtet sind für einen Rust-Neuling wie micht irritierend und nicht zielführend, also falls jemand das hier liest und ausprobieren möchte - Mein Rat an sie/ihn: wenn beim Bauen irgendwelche Fehler auftauchen: Zuerst prüfen, ob die verwendete Rust-Variante wirklich neu genug ist! Bei mir musste ich dafür zunächst curl —proto '=https' —tlsv1.2 -sSf https://sh.rustup.rs | sh und anschließend rustup default nightly ausführen.

Außerdem wird nicht genau genug auf die Abhängigkeiten/andere benötigte Komponenten hingewiesen. Bei mir - einem auf dem neuesten Stand befindlichen Ubuntu 23.04 mussten folgede Abhängigkeiten zusätzlich installiert werden:

sudo apt-get install protobuf-compiler
sudo apt-get install libclang-dev
sudo apt install slirp4netns
sudo apt-get install chromium-browser chromium-browser-l10n chromium-codecs-ffmpeg

Als all das getätigt war und ich der Anleitung der README bis zum Schluss gefolgt war konnte ich zunächst tatsächlich beim Aufrug von curl in der Befehlszeile den Datenverkehr in den Chrome devtools tatsächlich mitlesen. Ich prüfte anschließend jeweils ein Beispielprogramm in openjdk version "17.0.7" 2023-04-18 und eines in Python 3.11.2 und war ein wenig erleichtert, dass es hier nicht out-of-the-box funktionierte.

Allerdings soll diese Information nicht als Entwarnung dienen: nur dass das in einem als Hilfestellung für Entwickler erstellten Open-Source-Werkzeug nicht funktioniert heißt nicht, dass nicht Elemente mit krimineller Energie bereits längst die Methode verfeinert haben und ein solches Tool irgendwo da draußen existiert, dass es auch erlaubt, Java, Python und wer weiß welche TLS APIs noch zu kompromittieren!

Alle Artikel rss Wochenübersicht Monatsübersicht Codeberg Repositories Mastodon Über mich home xmpp


Vor 5 Jahren hier im Blog

  • Ticketsysteme sind lebende Wesen

    29.03.2020

    Hier zunächst wieder eine Triggerwarnung: Dieser Artikel wird meine Meinung abbilden. es kann sein, dass sie dem einen oder anderen nicht gefällt - das ist mir aber egal. Und wenn hier irgendwelche Schneeflocken mitlesen, dann sind die selber schuld.

    Weiterlesen...

Neueste Artikel

  • Weitere Experimente mit dem Clifford-Attractor

    Ich berichtete hier bereits über Experimente mit dem Clifford-Attractor, allerdings war ich noch Experimente unter geringfügig geänderten Parametern schuldig...

    Weiterlesen
  • Neues Feature in meinem Static Site Generator: externe URLs

    Es wurde wieder einmal Zeit für ein neues Feature in meinem Static Site Generator mittels dessen ich ja auch meine Heimatseite im Zwischennetz gestalte und verwalte...

    Weiterlesen
  • Eine Bestandsaufnahme

    Es kamen mehrere Faktoren zusammen: die Tatsache, dass ich nicht mehr ganz so kürzlich die 50 überschritten habe hatte ebenso darauf Einfluss wie das heutige trübe Wetter und auch der Fakt, dass ich bereits beinahe alle Wochenendpflichten erledigt habe. Der letzte Stein des Anstoßes war dann aber, dass sich heute zum 125. Mal der Geburtstag von Erich Fromm jährt.

    Weiterlesen

Manche nennen es Blog, manche Web-Seite - ich schreibe hier hin und wieder über meine Erlebnisse, Rückschläge und Erleuchtungen bei meinen Hobbies.

Wer daran teilhaben und eventuell sogar davon profitieren möchte, muss damit leben, daß ich hin und wieder kleine Ausflüge in Bereiche mache, die nichts mit IT, Administration oder Softwareentwicklung zu tun haben.

Ich wünsche allen Lesern viel Spaß und hin und wieder einen kleinen AHA!-Effekt...

PS: Meine öffentlichen Codeberg-Repositories findet man hier.