Certificate pinning opheffen

Sommige apps gebruiken certificate pinning: zodra een proxy actief is, kunnen ze eenvoudigweg geen verbinding meer maken. Certificate pinning opheffen zorgt ervoor dat ze deze controle overslaan en het proxycertificaat vertrouwen, zodat ze weer normaal verbinding kunnen maken en kunnen worden vastgelegd en ontsleuteld.

1. Wat het oplost

Een app met certificate pinning verliest netwerktoegang tijdens proxy-capture, omdat die alleen zijn eigen ingebouwde certificaat vertrouwt en het certificaat van de proxy niet accepteert.
Selecteer die app en schort de certificate pinning op, en de app krijgt weer normale netwerktoegang, zodat de HTTPS-verbinding via de proxy kan worden geleid en ontsleuteld.

Belangrijk: pinning opheffen is niet hetzelfde als leesbare tekst lezen. Het zorgt er alleen voor dat de app “bereid is het proxycertificaat te vertrouwen”; het ontsleutelt de inhoud zelf niet, dat blijft het werk van de proxy. Als je juist “rechtstreeks leesbare tekst van binnenuit het programma wilt lezen”, is dat een andere zaak, zie Leesbare tekst op applicatielaag op deze machine.

2. Ondersteunde doelen

Drie doeltypes, elk op zijn eigen tabblad te bedienen:

Programma’s op de machine: toont lokale processen, met multiselectie en filtering op naam of PID.
iOS-apps: kies een apparaat en toon vervolgens de apps (apps die opnieuw ondertekend moeten worden met een ontwikkelaarscertificaat), of voer handmatig een bundle-id in.
Android-apps: kies een apparaat (moet geroot zijn) en toon vervolgens de apps, of voer handmatig een pakketnaam / procesnaam / PID in.

Twee schakelaars

Kindprocessen automatisch afhandelen (machine): sommige applicaties versturen en ontvangen netwerkverzoeken vanuit kindprocessen, dus door ze samen te behandelen voorkom je gemiste captures.
Doel herstarten: herstart de app eerst en verwerk hem daarna, zodat verzoeken vroeg in de opstart ook worden gedekt.

Certificate pinning opheffen: aparte tabbladen voor doelen op de machine / iOS / Android, multiselectie gefilterd op procesnaam of PID, naast de schakelaars “kindprocessen automatisch afhandelen” en “doel herstarten”

3. Dekking en eerlijke grenzen

Gedekt: de certificate-pinningmethodes van de overgrote meerderheid van mainstream apps, inclusief gangbare native cryptografische componenten van diverse soorten, en pinningframeworks die veel voorkomen op Android.
Realtime terugkoppeling van resultaten: bij succes vertelt het hoeveel doelen / processen zijn verwerkt; gebruikt een app een minder gangbare netwerkcomponent die nog niet wordt ondersteund, dan meldt het dit duidelijk in plaats van je te laten wachten.
Een paar gevallen zijn niet van toepassing: programma’s geschreven in Go of Rust, of desktop-Java-programma’s, lenen zich meestal niet voor het opheffen van pinning; als ze het systeemcertificaat lezen, installeer je het certificaat gewoon in de systeem- / hun eigen vertrouwensopslag, zonder dat pinning opgeheven hoeft te worden.

4. Wanneer te gebruiken

Wanneer een vastgelegde app certificate pinning gebruikt en de netwerktoegang verliest zodra een proxy actief is: selecteer de app en hef pinning op binnen de proxysessie.
Om verzoeken vroeg in de opstart van een app vast te leggen: vink “Doel herstarten” aan.
Bij desktopapplicaties met meerdere processen: laat “Kindprocessen automatisch afhandelen” ingeschakeld.

Terug naar Proxy-capture · Gerelateerd: Certificaatbeheer en -installatie · Leesbare tekst op applicatielaag op deze machine