Désactiver l’épinglage de certificat

Certaines applications utilisent l’épinglage de certificat : dès qu’un proxy est actif, elles ne peuvent tout simplement plus se connecter. Désactiver l’épinglage de certificat les amène à mettre cette vérification en pause et à approuver le certificat du proxy, si bien qu’elles peuvent se connecter normalement et être capturées et déchiffrées.

1. Ce que cela résout

Une application avec épinglage de certificat perd l’accès au réseau pendant la capture par proxy, parce qu’elle n’approuve que son propre certificat intégré et n’accepte pas le certificat du proxy.
Sélectionnez cette application et mettez en pause son épinglage de certificat, et elle peut accéder au réseau normalement, si bien que son HTTPS peut être acheminé à travers le proxy et déchiffré.

Important : désactiver l’épinglage n’équivaut pas à lire le texte clair. Cela ne fait que rendre l’application « disposée à approuver le certificat du proxy » ; cela ne déchiffre pas le contenu en soi, le déchiffrement est toujours effectué par le proxy. Si ce que vous voulez, c’est « lire le texte clair directement depuis l’intérieur du programme », c’est une autre affaire, voir Capture au niveau applicatif sur cette machine.

2. Cibles prises en charge

Trois types de cibles, chacun manipulé sur son propre onglet :

Programmes de la machine : lister les processus locaux, avec sélection multiple et filtrage par nom ou PID.
Applications iOS : sélectionner un appareil, puis lister les applications (applications nécessitant une resignature avec un certificat de développement), ou saisir un bundle id manuellement.
Applications Android : sélectionner un appareil (qui doit être rooté), puis lister les applications, ou saisir un nom de package / nom de processus / PID manuellement.

Deux interrupteurs

Gérer automatiquement les processus enfants (machine) : certaines applications envoient et reçoivent des requêtes réseau depuis des processus enfants, si bien que les gérer ensemble évite les captures manquées.
Redémarrer la cible : redémarrer d’abord l’application, puis la traiter, afin de couvrir les requêtes tôt dans son démarrage.

Désactiver l’épinglage de certificat : onglets séparés pour les cibles machine / iOS / Android, sélection multiple filtrée par nom de processus ou PID, aux côtés des interrupteurs « gérer automatiquement les processus enfants » et « redémarrer la cible »

3. Couverture et limites honnêtes

Couvert : les méthodes d’épinglage de certificat de la grande majorité des applications grand public, y compris les composants cryptographiques natifs courants en tous genres, et les frameworks d’épinglage répandus sur Android.
Retour en temps réel sur les résultats : en cas de succès, il vous indique combien de cibles / processus ont été traités ; si une application utilise un composant réseau peu courant qui n’est pas encore pris en charge, il le dit clairement au lieu de vous laisser attendre.
Quelques cas ne s’appliquent pas : les programmes écrits en Go ou en Rust, ou les programmes Java de bureau, ne se prêtent généralement pas à la désactivation de l’épinglage ; s’ils lisent le certificat système, il suffit d’installer le certificat dans le système / leur magasin d’approbation, sans avoir besoin de désactiver l’épinglage.

4. Quand l’utiliser

Lorsqu’une application capturée utilise l’épinglage de certificat et perd l’accès au réseau dès qu’un proxy est actif, sélectionnez-la et désactivez l’épinglage au sein de la session de proxy.
Pour capturer les requêtes tôt dans le démarrage d’une application : cochez « Redémarrer la cible ».
Applications de bureau multiprocessus : gardez « Gérer automatiquement les processus enfants » activé.

Retour à Capture par proxy · En lien : Gestion et installation des certificats · Capture au niveau applicatif sur cette machine