Was Certificate Pinning weiterhin blockiert

Auf iOS hängt die Entschlüsselung davon ab, dass das Busymate-Profil installiert ist und in den Einstellungen volles Vertrauen hat — danach vertraut jede App auf dem Smartphone dem Zertifikat, das die App vorlegt, außer Apps, die pinnen. Auf Android gibt es zwei Speicher: den Nutzerspeicher, den seit Android 7.0 nur Apps beachten, die sich ausdrücklich dafür entscheiden, und den Systemspeicher, den jede App beachtet, in den aber nur ein gerootetes Gerät schreiben kann. Der Desktop-Proxy nutzt das Vertrauen, das der Client-Rechner oder -Browser seiner erzeugten Stelle entgegenbringt.

Pinning steht über allen dreien. Eine App, die pinnt, lehnt das Ersatzzertifikat ab, aus welchem Speicher es auch kommt — ein Zertifikat in einen stärkeren Speicher zu verschieben hilft gegen einen gepinnten Host also nie. Es hilft nur gegen Apps, die den Nutzerspeicher verweigert haben.

Ein Host, den du nicht zur Entschlüsselung gelistet hast, zeigt ein geschlossenes Schloss mit nur Hostname und Request-Zähler — das ist Absicht, kein Pinning. Ein gepinnter Host sieht anders aus: Er steht auf deiner Liste, die Entschlüsselung wurde versucht, und die Verbindung ist gescheitert oder die App hat es erneut probiert und aufgegeben. Der Inspektionsfilter des Dashboard-Feeds hat drei Stufen — nur entschlüsselt, nur verschlüsselt, nur SSL-gepinnt — und die letzte isoliert genau diese Zeilen.

Das andere Merkmal ist das Verhalten: Die App funktioniert für diesen Host nicht mehr, sobald er entschlüsselt wird, und wieder, sobald du den Host von der Liste nimmst. Trifft beides zu, hast du eine gepinnte Verbindung gefunden.

Die iOS-App zeichnet systemweit auf, über WLAN und Mobilfunk, und entschlüsselt die Hosts, die du listest. Gegen eine gepinnte App erfasst sie weiterhin jede Verbindung — Host, Timing, Zahl und Größe der Requests, den aktiven Verbindungsmodus —, kann aber weder Header noch Body liefern, und kein Schalter ändert das. MITM All Hosts einzuschalten entschlüsselt jeden nicht gepinnten Host; bei einem gepinnten tut es nichts, außer ihn kaputt zu machen.

Praktisch nimmst du den gepinnten Host von der Liste, damit die App weiter funktioniert, lässt ihre übrigen Hosts drauf und liest, was die nicht gepinnten Endpunkte preisgeben. Viele Apps pinnen nur ihren Authentifizierungs- oder Zahlungs-Host und lassen den Rest offen.

Auf einem Android-Smartphone ohne Root liegt das von der App erzeugte Zertifikat im Nutzerspeicher, also entschlüsseln sich nur deine eigenen Debug-Builds und andere Clients, die sich dafür entschieden haben; jede andere App wird als Metadaten erfasst. Auf einem gerooteten Gerät lässt sich das Zertifikat in den Systemspeicher installieren, und HTTPS wird systemweit entschlüsselbar — bis auf das Pinning einzelner Apps. Genau deshalb betreibt die Phone-Farm ihre Android-Geräte auf dieser gerooteten Stufe.

Root verwandelt also eine Klasse undurchsichtiger Apps in lesbare — die, die bloß den Nutzerspeicher ignoriert haben — und lässt die gepinnte Klasse unberührt. Busymate behauptet nie eine systemweite Entschlüsselung auf einem Gerät ohne Root und nie, dass Pinning auf einem gerooteten Gerät überwunden wäre.

Der Desktop-Proxy hat zum Pinning dasselbe Verhältnis wie die Smartphone-Apps: Ein gepinnter Client lehnt sein erzeugtes Zertifikat ab und die Verbindung scheitert. Zusätzlich führt er eine kurze Liste von Hosts, die er nie abfängt, egal was deine SSL-Proxy-Einstellungen sagen — Apples eigene PKI- und Sperrlisten-Endpunkte, die Zertifikatsstatus-Responder in Apples Kette und Busymates eigenes Backend —, weil ein Abfangen das Gerät oder die Live-Verbindung des Dashboards brechen würde. Sie passieren als rohe Tunnel, und das ist Absicht, keine Fehlkonfiguration.

Es gibt einen Aufzeichnungsweg, für den Pinning irrelevant ist. Der Kommandozeilen-Connector startet eine Chrome-Instanz und liest ihren Traffic über das DevTools Protocol, auf der Browser-Seite von TLS. Die verschlüsselte Verbindung zwischen Chrome und Server wird nie angefasst — kein Ersatzzertifikat, das abgelehnt werden könnte, nichts zu installieren, nichts, was Pinning erkennen könnte. Login-Flows bei Anbietern, deren gepinnte Zertifikate ein Proxy nicht öffnen kann, werden Ende zu Ende aufgezeichnet, Redirects und Tokens inklusive.

Der Preis ist der Umfang: Er deckt ab, was in diesem Chrome läuft, keine native App. Hat der Flow, um den es dir geht, eine Web-Variante, ist das der Weg, der ihn vollständig sieht.

Metadaten sind nicht nichts. Du siehst weiterhin, wann die App mit dem gepinnten Host spricht, wie oft, wie groß die Austausche sind und wie lange sie dauern, und kannst das mit den entschlüsselten Aufrufen drumherum korrelieren. Blockregeln matchen auf einem verschlüsselten Host weiterhin auf Host-Ebene — der Pfad ist unsichtbar, aber du kannst die App so tun lassen, als wäre dieser Endpunkt unerreichbar, was oft genau der Fehlerfall ist, den du testen wolltest. Pausen lassen den Host den Proxy komplett umgehen, damit die App weiterläuft, während du alles andere untersuchst.

Und jede Aktion steht im Audit-Trail, sodass eine Forschungssitzung eine Spur hinterlässt: was entschlüsselt, was blockiert und was in Ruhe gelassen wurde.