Sertifika sabitleme hâlâ neyi engelliyor

iOS'ta şifre çözme, Busymate profilinin yüklü olmasına ve Ayarlar'da tam güven verilmesine bağlıdır — bundan sonra telefondaki her uygulama, sabitleme yapanlar hariç, uygulamanın sunduğu sertifikaya güvenir. Android'de iki depo vardır: Android 7.0'dan bu yana yalnızca açıkça izin veren uygulamaların dikkate aldığı kullanıcı deposu ve her uygulamanın dikkate aldığı ama yalnızca root'lu bir cihazın yazabildiği sistem deposu. Masaüstü proxy, istemci makinenin ya da tarayıcının kendi ürettiği otoriteye duyduğu güveni kullanır.

Sabitleme üçünün de üstündedir. Sabitleme yapan bir uygulama, yedek sertifikayı hangi depodan gelirse gelsin reddeder; bu yüzden bir sertifikayı daha güçlü bir depoya taşımak sabitlenmiş bir ana bilgisayara karşı asla işe yaramaz. Yalnızca kullanıcı deposunu reddeden uygulamalara karşı işe yarar.

Şifre çözme için listelemediğiniz bir ana bilgisayar yalnızca ana bilgisayar adı ve istek sayısıyla kapalı bir kilit gösterir — bu tasarım gereğidir, sabitleme değildir. Sabitlenmiş bir ana bilgisayar farklı görünür: listenizdedir, şifre çözme denenmiştir ve bağlantı başarısız olmuştur ya da uygulama yeniden deneyip vazgeçmiştir. Pano akışının inceleme filtresinin üç ayarı vardır — yalnızca çözülmüş, yalnızca şifreli ve yalnızca SSL sabitlenmiş — ve sonuncusu tam olarak bu satırları ayırır.

Diğer ipucu davranışsaldır: uygulama, o ana bilgisayarın şifresi çözüldüğü anda o ana bilgisayar için çalışmayı bırakır ve ana bilgisayarı listeden çıkardığınız anda yeniden çalışır. İkisi de doğruysa sabitlenmiş bir bağlantı bulmuşsunuzdur.

iOS uygulaması sistem genelinde, Wi-Fi ve hücresel üzerinden yakalar ve listelediğiniz ana bilgisayarların şifresini çözer. Sabitlenmiş bir uygulamaya karşı her bağlantıyı yine kaydeder — ana bilgisayar, zamanlama, isteklerin sayısı ve boyutu, geçerli bağlantı modu — ama başlıkları ya da gövdeyi üretemez ve bunu değiştiren bir anahtar yoktur. MITM All Hosts'u açmak sabitlenmemiş her ana bilgisayarın şifresini çözer; sabitlenmiş olanı bozmaktan başka bir şey yapmaz.

Pratik hamle, uygulama çalışmaya devam etsin diye sabitlenmiş ana bilgisayarı listeden çıkarmak, uygulamanın diğer ana bilgisayarlarını listede tutmak ve sabitlenmemiş uç noktaların ortaya koyduklarını okumaktır. Birçok uygulama yalnızca kimlik doğrulama ya da ödeme ana bilgisayarını sabitler, gerisini açık bırakır.

Root'suz bir Android telefonda uygulamanın ürettiği sertifika kullanıcı deposunda yaşar; bu yüzden yalnızca kendi hata ayıklama derlemeleriniz ve izin veren diğer istemcilerin şifresi çözülür, diğer her uygulama meta veri olarak kaydedilir. Root'lu bir cihazda sertifika sistem deposuna yüklenebilir ve HTTPS sistem genelinde çözülebilir hale gelir — uygulama başına sabitleme hariç. Telefon çiftliği Android cihazlarını tam da bu nedenle o root'lu katmanda çalıştırır.

Yani root, bir sınıf opak uygulamayı okunabilir hale getirir — yalnızca kullanıcı deposunu yok sayanları — ve sabitlenmiş sınıfa dokunmaz. Busymate root'suz bir cihazda asla sistem genelinde şifre çözme iddiasında bulunmaz ve root'lu bir cihazda sabitlemenin aşıldığını asla iddia etmez.

Masaüstü proxy'nin sabitlemeyle ilişkisi telefon uygulamalarıyla aynıdır: sabitlenmiş bir istemci ürettiği sertifikayı reddeder ve bağlantı başarısız olur. Ayrıca SSL proxy ayarlarınız ne derse desin asla araya girmediği kısa bir ana bilgisayar listesi taşır — Apple'ın kendi PKI ve iptal uç noktaları, Apple'ın zincirinin kullandığı sertifika durumu yanıtlayıcıları ve Busymate'in kendi arka ucu — çünkü onlara müdahale etmek cihazı ya da panonun canlı bağlantısını bozar. Bunlar ham tüneller olarak geçer ve bu kasıtlıdır, yanlış yapılandırma değildir.

Sabitlemenin önemsiz olduğu bir yakalama yolu vardır. Komut satırı bağlayıcısı bir Chrome örneği başlatır ve trafiğini TLS'nin tarayıcı tarafında DevTools Protocol üzerinden okur. Chrome ile sunucu arasındaki şifreli bağlantıya hiç dokunulmaz — reddedilecek yedek sertifika yoktur, yüklenecek bir şey yoktur ve sabitlemenin algılayacağı bir şey yoktur. Sabitlenmiş sertifikalarını bir proxy'nin açamadığı sağlayıcılardaki oturum açma akışları, yönlendirmeler ve belirteçler dahil uçtan uca kaydedilir.

Bedeli kapsamdır: o Chrome'un içinde çalışanları kapsar, yerel bir uygulamayı değil. Önemsediğiniz akışın bir web sürümü varsa, onu tam olarak gören yol budur.

Meta veri hiç değildir. Uygulamanın sabitlenmiş ana bilgisayarla ne zaman, ne sıklıkta konuştuğunu, alışverişlerin ne kadar büyük olduğunu ve ne kadar sürdüğünü yine görürsünüz ve bunu çevresindeki şifresi çözülmüş çağrılarla ilişkilendirebilirsiniz. Engelleme kuralları şifreli bir ana bilgisayarda hâlâ ana bilgisayar düzeyinde eşleşir — yol görünmezdir ama uygulamayı o uç noktaya erişilemiyormuş gibi davranmaya zorlayabilirsiniz ki bu çoğu zaman tam da test etmek istediğiniz hata modudur. Duraklatmalar, siz diğer her şeyi incelerken uygulama çalışmaya devam etsin diye ana bilgisayarın proxy'yi tamamen atlamasına izin verir.

Ve yaptığınız her eylem denetim izindedir; böylece bir araştırma oturumu neyin çözüldüğünün, neyin engellendiğinin ve neye dokunulmadığının kaydını bırakır.