Windowsソフトが行っているTLS通信をWiresharkで解析しようと思っています。ブラウザではないのでSSLKEYLOGFILEが出力されません。共通鍵を知るにはどうすればよいですか？

Question

実現したいこと

こんにちは。私は今、Windowsのあるソフトが行っている、通信をWiresharkで解析しようとしているのですが、通信がTLSで暗号化されているため、内容を知ることができません。どうにかして、Windowsソフトが行っている通信の共通鍵を入手して、通信を解析したいです。

発生している問題・エラーメッセージ

ブラウザではないので、システム環境変数からSSLKEYLOGFILEを設定して、共通鍵を出力してもらうことができずに困っています
暗号化されたWindowsソフトの通信を解析する方法とかというのはないのでしょうか？

試したこと

Googleでいろいろ検索してみましたが、どれもブラウザでの解析のことを想定した記事ばかりで、的を得た検索結果は見つかりませんでした。

補足情報

Windows10、Wireshark

Comments

[poto568]

目的と手段の境界が不明瞭だったり、「あるソフト」が何かわかりませんが、
場合によってはmitmproxyが使えるかもしれません。

Answer 1

ブラウザではないので、システム環境変数からSSLKEYLOGFILEを設定して、共通鍵を出力してもらうことができずに困っています

暗号化されたWindowsソフトの通信を解析する方法とかというのはないのでしょうか？

1

基本的にないです。というか、そういうことができるのなら通信内容を暗号化している意味がないですよね。

そのアプリケーションが pre-master-secretログ (セッション鍵の情報) の出力に対応していないのなら、そのような方法はないと考えて間違いありません。

2

もうひとつの方法として、サーバの秘密鍵をWiresharkに登録することでキャプチャ内容を復号化できる機能もあります。しかし、実際に稼働しているサービスであればサーバの秘密鍵がサーバ外に持ち出されることはありえませんから、これもあまり現実的ではないですね。実験目的でサーバを立ち上げて試してみるような状況に限られると思います。

3

コメントでmitmproxyを挙げていらっしゃるかたがいたので、そういえばと思い出しました。

プロキシサーバソフトウェアで「SSL Bump」などと呼ばれる機能を持つものがあります。Squidなんかが有名です。

SSL Bumpは、プロキシが接続先サーバに代わって「にせ」のサーバ証明書をクライアントに提示することでクライアントからの通信を一旦復号し、そのあと再度暗号化してサーバに送るというものです。

クライアントのアプリケーションがプロキシ経由の通信でも正常に動作すること、「にせ」の証明書を信頼してくれることが前提ですが、通信内容を解析することが可能になります。