Wireshark ist ein beliebter Open-Source-Paketanalysator, der eine Vielzahl praktischer Funktionen für Netzwerkanalyse, Fehlerbehebung, Schulung und vieles mehr bietet. Wer Wireshark zum ersten Mal nutzen möchte und bereits Erfahrung damit hat, fragt sich oft, wie man HTTPS-Verkehr ausliest.
Wenn Sie einer von ihnen sind, sind Sie bei uns genau richtig. Hier erklären wir, was HTTPS ist und wie es funktioniert. Als Nächstes schauen wir uns an, ob Sie HTTPS-Verkehr lesen können, warum das ein Problem sein könnte und was Sie dagegen tun können.
Was ist HTTPS?
Hypertext Transfer Protocol Secure (HTTPS) stellt eine sichere Version von HTTP dar, die eine sichere Datenübertragung und Kommunikation zwischen einem Webbrowser und einer Website gewährleistet.
HTTPS sorgt für Sicherheit und verhindert Abhören, Identitätsdiebstahl, Man-in-the-Middle-Angriffe und andere Sicherheitsbedrohungen. Heutzutage verfügt jede Website, die Sie zur Eingabe Ihrer Daten oder zur Erstellung eines Kontos auffordert, über HTTPS, um Sie zu schützen.
HTTPS schützt vor Sicherheitsbedrohungen und böswilligen Angriffen, indem es den gesamten Austausch zwischen einem Webbrowser und einem Server verschlüsselt.
Es ist wichtig klarzustellen, dass HTTPS nicht von HTTP getrennt ist. Es handelt sich vielmehr um eine Variante von HTTP, die zur Sicherung der Kommunikation spezielle Verschlüsselungen wie Secure Socket Layer (SSL) und Transport Layer Security (TLS) verwendet. Wenn ein Webbrowser und ein Webserver über HTTPS kommunizieren, führen sie einen SSL/TLS-Handshake durch, also einen Austausch von Sicherheitszertifikaten.
Wie können Sie feststellen, ob Ihre Kommunikation mit einer Website mit HTTPS gesichert ist? Schauen Sie sich einfach die Adressleiste an. Wenn am Anfang der URL „https“ steht, ist Ihre Verbindung sicher.
Wireshark So lesen Sie HTTPS-Verkehr
Eines der Hauptmerkmale von HTTPS ist, dass es verschlüsselt ist. Während dies ein Vorteil ist, wenn Sie online einkaufen oder persönliche Daten auf einer Website hinterlassen, kann es beim Tracking zur Überwachung des Webverkehrs und zur Analyse Ihres Netzwerks ein Nachteil sein.
Da HTTPS verschlüsselt ist, gibt es in Wireshark keine Möglichkeit, es zu lesen. Es kann jedoch SSL- und TLS-Pakete anzeigen und in HTTPS entschlüsseln.
Befolgen Sie diese Schritte, um SSL- und TLS-Pakete in Wireshark zu lesen:
- Öffnen Sie Wireshark und wählen Sie aus dem Menü „Aufnahme“ aus, was Sie aufnehmen möchten.
- Konzentrieren Sie sich im Bereich „Paketliste“ auf die Spalte „Protokoll“ und suchen Sie nach „SSL“.
- Suchen Sie das SSL- oder TLS-Paket, das Sie interessiert, und öffnen Sie es.
So entschlüsseln Sie SSL in Wireshark
Die empfohlene Methode zum Entschlüsseln von SSL ist die Verwendung eines Pre-Master-Geheimschlüssels. Sie müssen diese vier Schritte ausführen:
- Legen Sie eine Umgebungsvariable fest.
- Starten Sie Ihren Browser.
- Konfigurieren Sie Ihre Einstellungen in Wireshark.
- Sitzungsschlüssel erfassen und entschlüsseln.
Lassen Sie uns jeden Schritt genauer durchgehen.
Legen Sie eine Umgebungsvariable fest
Eine Umgebungsvariable ist ein Wert, der bestimmt, wie Ihr Computer verschiedene Prozesse verarbeitet. Wenn Sie SSL und TLS entschlüsseln möchten, müssen Sie zunächst eine Umgebungsvariable korrekt konfigurieren. Wie Sie dies tun, hängt von Ihrem Betriebssystem ab.
Legen Sie eine Umgebungsvariable in Windows fest
Windows-Benutzer sollten diese Schritte befolgen, um eine Umgebungsvariable festzulegen:
- Starten Sie das Startmenü.
- Öffnen Sie die „Systemsteuerung“.
- Gehen Sie zu „System und Sicherheit“.
- Wählen Sie „System“.
- Scrollen Sie nach unten und wählen Sie „Erweiterte Systemeinstellungen“.
- Überprüfen Sie noch einmal, ob Sie sich im Abschnitt „Erweitert“ befinden, und klicken Sie auf „Umgebungsvariablen“.
- Klicken Sie unter „Benutzervariablen“ auf „Neu“.
- Geben Sie „SSLKEYLOGFILE“ in „Variablenname“ ein.
- Geben Sie unter „Variablenwert“ den Pfad zur Protokolldatei ein oder durchsuchen Sie ihn.
- Drücke OK.”
Legen Sie eine Umgebungsvariable auf Mac oder Linux fest
Wenn Sie ein Linux- oder Mac-Benutzer sind, müssen Sie nano verwenden, um eine Umgebungsvariable festzulegen.
Linux-Benutzer sollten ein Terminal öffnen und diesen Befehl eingeben: „nano ~/ .bashrc“. Mac-Benutzer sollten Launchpad öffnen, auf „Andere“ klicken und ein Terminal starten. Dann müssen sie diesen Befehl eingeben: „nano ~/ .bash_profile“.
Sowohl Linux- als auch Mac-Benutzer sollten diese Schritte befolgen, um fortzufahren:
- Fügen Sie diese Datei am Ende der Datei hinzu: „export SSLKEYLOGFILE=~/.ssl-key.log“.
- Speichern Sie Ihre Änderungen.
- Schließen Sie das Terminalfenster und starten Sie ein neues. Geben Sie diese Zeile ein: „echo $SSKEYLOGFILE“.
- Sie sollten nun den vollständigen Pfad zu Ihrem SSL-Pre-Master-Key-Eintrag sehen. Kopieren Sie diesen Pfad, um ihn für später zu speichern, da Sie ihn in Wireshark eingeben müssen.
Starten Sie Ihren Browser
Im zweiten Schritt starten Sie Ihren Browser, um sicherzustellen, dass die Protokolldatei verwendet wird. Sie müssen Ihren Browser öffnen und eine SSL-fähige Website besuchen.
Nachdem Sie eine solche Website besucht haben, überprüfen Sie deren Datei auf Daten. Unter Windows müssen Sie Notepad verwenden, während Sie auf Mac und Linux diesen Befehl verwenden müssen: „cat ~/ .ssl-log.key“.
Konfigurieren Sie Wireshark
Sobald Sie festgestellt haben, dass Ihr Browser Premaster-Schlüssel am gewünschten Ort registriert, ist es an der Zeit, Wireshark zu konfigurieren. Nach der Konfiguration sollte Wireshark in der Lage sein, die Schlüssel zum Entschlüsseln von SSL zu verwenden.
Befolgen Sie dazu die folgenden Schritte:
- Starten Sie Wireshark und gehen Sie auf „Bearbeiten“.
- Klicken Sie auf „Einstellungen“.
- Erweitern Sie „Protokolle“.
- Scrollen Sie nach unten und wählen Sie „SSL“.
- Suchen Sie nach „(Pre)-Master Secret-Protokolldateiname“ und geben Sie den Pfad ein, den Sie im ersten Schritt konfiguriert haben.
- Drücke OK.”
Sitzungsschlüssel erfassen und entschlüsseln
Nachdem Sie nun alles eingerichtet haben, ist es an der Zeit zu prüfen, ob Wireshark SSL entschlüsselt. Folgendes sollten Sie tun:
- Starten Sie Wireshark und starten Sie eine ungefilterte Aufnahmesitzung.
- Minimieren Sie das Wireshark-Fenster und öffnen Sie Ihren Browser.
- Gehen Sie zu einer sicheren Website, um Daten abzurufen.
- Kehren Sie zu Wireshark zurück und wählen Sie einen beliebigen Frame mit verschlüsselten Daten aus.
- Suchen Sie nach „Packet Byte View“ und sehen Sie sich die „SSL Decrypted“-Daten an. HTML sollte jetzt sichtbar sein.
Welche praktischen Funktionen bietet Wireshark?
Einer der Gründe, warum Wireshark ein führender Netzwerkpaketanalysator ist, liegt darin, dass es eine Vielzahl praktischer Optionen bietet, die Ihr Benutzererlebnis verbessern. Hier sind einige davon:
Farbcodierung
Das Durchsuchen großer Informationsmengen kann zeitaufwändig und anstrengend sein. Wireshark versucht Ihnen mit einem einzigartigen Farbcodierungssystem dabei zu helfen, verschiedene Pakettypen zu unterscheiden. Hier sehen Sie die Standardfarben für die wichtigsten Pakettypen:
- Hellblau – UDP
- Hellviolett – TCP
- Hellgrün: HTTP-Verkehr
- Hellgelb: Windows-spezifischer Datenverkehr (einschließlich Server Message Blocks (SMB) und NetBIOS).
- Dunkelgelb – Routing
- Dunkelgrau: TCP-SYN-, ACK- und FIN-Verkehr
- Schwarz: Pakete, die einen Fehler enthalten
Sie können das vollständige Farbschema sehen, indem Sie auf „Ansicht“ gehen und „Farbregeln“ auswählen.
Mit Wireshark können Sie in denselben Einstellungen Ihre eigenen Farbregeln basierend auf Ihren Vorlieben anpassen. Wenn Sie keine Farbe wünschen, schalten Sie den Schalter neben „Paketliste einfärben“ um.
Metriken und Statistiken
Wireshark bietet mehrere Optionen, um weitere Informationen zu Ihrer Aufnahme zu erhalten. Diese Optionen finden Sie im Menü „Statistik“ oben im Fenster.
Abhängig von Ihren Interessen können Sie Statistiken zu den Eigenschaften der Erfassungsdatei, aufgelösten Adressen, Paketlängen, Endpunkten und mehr einsehen.
Befehlszeile
Wenn Sie ein System haben, das keine grafische Benutzeroberfläche (GUI) hat, werden Sie froh sein zu wissen, dass Wireshark über eine verfügt.
Promiscuous-Modus
Standardmäßig ermöglicht Ihnen Wireshark die Erfassung von Paketen, die von und zu dem von Ihnen verwendeten Computer gesendet werden. Wenn Sie jedoch den Promiscuous-Modus aktivieren, können Sie den größten Teil des Datenverkehrs im gesamten lokalen Netzwerk (LAN) erfassen.
Häufig gestellte Fragen
Kann ich Datenpakete in Wireshark filtern?
Ja, Wireshark bietet erweiterte Filteroptionen, mit denen Sie relevante Informationen in wenigen Sekunden anzeigen können.
Die Plattform verfügt über zwei Arten von Filtern: Erfassung und Visualisierung. Erfassungsfilter werden während der Datenerfassung verwendet. Sie können sie vor dem Starten einer Paketerfassung konfigurieren und während des Vorgangs nicht ändern. Diese Filter bieten eine einfache Möglichkeit, schnell nach den Daten zu suchen, die Sie interessieren. Wenn Wireshark Daten erfasst, die nicht mit Ihren eingestellten Filtern übereinstimmen, werden diese nicht angezeigt.
Anzeigefilter werden nach dem Aufnahmevorgang angewendet. Im Gegensatz zu Erfassungsfiltern, die Daten verwerfen, die nicht den festgelegten Kriterien entsprechen, verbergen Anzeigefilter diese Daten einfach aus der Liste. Dadurch erhalten Sie eine klarere Sicht auf die Aufnahme und können leichter finden, wonach Sie suchen.
Wenn Sie in Wireshark viele Filter verwenden und Schwierigkeiten haben, sich diese zu merken, wird es Sie freuen zu erfahren, dass Sie in Wireshark Ihre Filter speichern können. Auf diese Weise müssen Sie sich keine Sorgen machen, dass Sie die richtige Syntax vergessen oder den falschen Filter anwenden. Sie können Ihren Filter speichern, indem Sie auf das Lesezeichensymbol neben dem Filterfeld klicken.
Master-Netzwerkanalyse mit Wireshark
Dank seiner beeindruckenden Paketanalyseoptionen ermöglicht Ihnen Wireshark einen detaillierten Überblick über den Datenverkehr, der in Ihr Netzwerk ein- und ausgeht. Obwohl Wireshark erweiterte Funktionen bietet, verfügt es über eine einfache und intuitive Benutzeroberfläche, sodass sich auch diejenigen, die neu in der Welt der Paketanalyse sind, schnell zurechtfinden. Das Lesen des HTTPS-Verkehrs ist möglicherweise nicht einfach, aber es ist möglich, wenn Sie SSL-Pakete entschlüsseln.
Was gefällt Ihnen an Wireshark am besten? Hattest du jemals Probleme damit? Sagen Sie es uns im Kommentarbereich unten.
