ssl - 解密来自 PCAP 的 TLS 流量

Question

我有一个 PCAP 文件，它是为了进行取证挑战而提供给我的。 PCAP 使用 TLS 版本 1 对流量进行了加密。我研究了 BEAST 攻击，但没有工具可以做到这一点。有什么方法可以只使用我在 PCAP 文件中的数据包来解密 Wireshark 中的此流量而无需私钥？无论如何，我可以从证书交换或主 secret 日志或其他东西中获取私钥吗？我在网上找不到任何不涉及访问私钥的教程。感谢您的帮助。

更新:

我后来的研究表明，TLS 的第 1 版确实存在漏洞，而且这是可能的，但我需要访问实际主机以及其流量的 PCAP。

Answer 1

如果您拥有主 key ，您也许可以做一些事情。

查看 SSL page of the Wireshark wiki 上的“使用 (Pre)-Master-Secret”部分.您需要一个相当新的 Wireshark 版本，它增加了设置主 key 的能力(而不是期望服务器的私钥)。这也应该有助于 Ephemeral Diffie-Hellman 密码套件。

更多详情请参见 this question在 Wireshark 问答网站上。