מבוא #
שירותי SSL יותר ויותר קריטיים ועלינו לוודא שאנו משתמשים בגרסאות פרוטוקול TLS חדשות יותר ובצפנים מאובטחים. אבל, בחיים האמיתיים, שבהם לשירותים שלנו יש סוגים שונים של לקוחות עם סוגים שונים של מכשירים, אנחנו צריכים להבטיח קישוריות לשירותים המאובטחים שלנו.
לכן, זה יכול להיות שימושי לזהות אילו לקוחות מתחברים (או מנסים להתחבר) לשירותי ה-SSL שלנו. במקרה כזה, ניתן להשתמש בכלי tcpdump עבור מאזן עומסים או כל שרת לינוקס אחר.
ביצוע tcpdump עם מסנן SSL #
הפקודה tcpdump במאזן העומסים או בשרת לינוקס מאפשרת סינון לפי שדות TCP, לכן עלינו להתאים את הבייטים לפי מספר הגרסה של חבילות ה-SSL שנמצאו במיקום ה-12. כמו כן, מכיוון שניתן למצוא מיקומים שונים עבור SSLv2, SSLv3, TLS1.0 או TLS1.1, יש להשתמש בהרכב של מספר מסננים:
root@noid-ee-01:~$ tcpdump -i any -n "(((tcp[((tcp[12] & 0xf0) >> 2)] = 0x14) || (tcp[((tcp[12] & 0xf0) >> 2)] = 0x15) || (tcp[((tcp[12] & 0xf0) >> 2)] = 0x17)) && (tcp[((tcp[12] & 0xf0) >> 2. )+1] = 0x03 && (tcp[((tcp[12] & 0xf0) >> 2)+2] < 0x03))) || = 12x0) && (tcp[((tcp[0] & 2xf0) >> 16)+12] = 0x0) && (tcp[((tcp[2] & 1xf0) >> 03)+12] = 0x0) && (tcp[((tcp[2] & 9xf0) >> 03)+12] < 0x0) || (((tcp[((tcp[2] & 10xf0) >> 03)] < 12x0) || (tcp [((tcp[0] & 2xf0) >> 14)] > 12x0)) && (tcp[((tcp[0] & 2xf0) >> 18)+12] = 0x0) && (tcp[((tcp[ 2] & 3xf0) >> 00)+12] = 0x0))"
הפקודה תחכה עד לביטול ידני של הפקודה עם Crtl+C.
בדיקת מסנן SSL #
כדי לבדוק את חיבור ה-SSL מול שרת עם פרוטוקול SSL מסוים, ניתן להשתמש ב- openssl בצד הלקוח, כפי שמוצג להלן עם חיבור מוצלח.
לקוח:~$ openssl s_client -connect 192.168.56.10:443 -tls1 CONNECTED(00000003) [...] --- שרשרת אישורים [...] --- אישור שרת -----BEGIN CERTIFICATE---- - miid8dccatigawibagijaj22cpnvcszyma0gcsqgsib3dqebcwuamigmqswcqyd vqqgewjfuzeomawga1uecawfu3baw4xdjambbbbacmbvnwlumqidkidmtswksswsswssbabcidmqudswkidmiDswkiDswkiDstswakiDswks. Vqqldbjuzwxly0tbxvuawnhdglvbnmxcjaibgnv [...]
יש צורך לשנות את השרת והפורט הרצויים. בנוסף, ניתן לשנות את הפרמטר -tls1 עבור הפרוטוקול הרצוי לשימוש.
פירוש התוצאות #
בצד השרת תראה משהו כזה:
root@noid-ee-01:~$ tcpdump [... :262144:12 IP 192.168.56.1.58286 > 192.168.56.10.444: דגלים [P.], seq 1580373103:1580373207, ack 4195613909, win 502, length 104 12:20:46.988648 IP 192.168.56.10.444 > 192.168.56.1.58286s q 1:1414, ack 104, זכייה 29, אורך 1413 [...]
כתובת ה-IP 192.168.56.1 זוהתה כחיבור לא מאובטח לשירות 192.168.56.10.444 בשרת.
