Comment tester un homme dans le proxy HTTPS du milieu?

Nous recherchons des directives pour tester un nouveau produit qui fonctionne comme un proxy "man in the middle" et pour intercepter le trafic HTTPS.Comment tester un homme dans le proxy HTTPS du milieu?

Ce système doit agir en tant que navigateurs standard et bloquer toute tentative d'accéder à un site avec certificat non valide.

Nous avons pensé à tester les scénarios suivants:

Certificat expiré
Un certificat qui a été questions pour une date ultérieure
Le nom d'hôte demandé ne correspond pas au nom d'hôte du certificat
Le certificat est non signé par une racine CA

Mes questions sont:

Quels autres scénarios certificats devrions-nous tester?
Quels outils devrions-nous utiliser pour générer ces certificats «non valides»?
Connaissez-vous un projet open source (peut-être un navigateur ou un proxy) qui a un ensemble de tests unitaires que nous pouvons apprendre?

Merci.

Source

2010-12-03 NTB

Vous créez un homme en le milieu proxy, et en essayant d'éviter les attaques man-in-the-middle? Je suis curieux de voir quelle est la demande. –

@Stefan Mai: L'inspection de contenu est une application qui conduit le développement de proxys SSL MiTM. –

La procédure de validation du certificat est complètement décrit dans les RFCs correspondants (3280, 2560, etc.) et vous n'avez pas besoin d'inventer des « scénarios ».

Pour la génération de certificats, y compris ceux non valides que vous pouvez utiliser nos SecureBlackbox composants (mode d'essai sera suffisant).

Source

2010-12-03 08:27:13

Savez-vous quelles sont les sections pertinentes dans les RFC pour les scénarios requis? – NTB

Le lien pour SecureBlackbox est rompu ... – NTB

@NTB Lorsque vous suivez les procédures de validation, vous n'avez pas besoin de scénarios. Vous venez d'implémenter la procédure étape par étape. Il est décrit en détails dans la section 6 de la RFC 3280. Le lien a été mis à jour, merci –

Comment tester un homme dans le proxy HTTPS du milieu?

Répondre

Questions connexes