https pakketten decrypten, mogelijk?

[highking]

Vooropgesteld: ik heb een YouTube kanaal en vind het interessant om hard- en software die ik test te controleren om telemetry.

Mijn router kan een pcap maken van verkeer, gefilterd op bijvoorbeeld een MAC adres. Zo kan ik vrij gemakkelijk zien waar een apparaat allemaal mee babbelt.

Maarja, in 2026 gaat bijna alles over https en modern TLS is niet zo simpel in te zien. Ik zou graag een optie hebben om te bekijken wát een apparaat allemaal deelt met de servers waar ie mee babbelt.

Als ik online zoek dan kom ik vooral uit op trainingen die gebruik maken van een private key om een aangeleverde pcap te decrypten. Ja prachtig, heb ik niets aan.

Er zijn ook proxies, maar die vereisen de installatie van een certificaat op de client. Dat schiet ook niet erg op in dit geval. Of is er een optie om dit echt transparant te doen?

Is hier iets voor? Liefst zonder gebruik van AI, maar als een locale LLM iets kan doen dan is dat wat mij betreft prima.

[P_de_B]

Ik hoop niet dat je hier iets voor vindt. Dat zou een enorm probleem zijn voor het internet zoals we het nu kennen. Dat zou betekenen dat alle verbindingen kwetsbaar zijn.

Er is geen bekende exploit die dit kan, behalve inderdaad een MITM proxy oid met een eigen certificaat op de cliënt.

[highking]

Ja daar zit ook weer wat in. Mijn intenties zijn goed maar als het simpel te decrypten is, dan kan het ook flink misbruikt worden. Hmm.

[Rukapul]

P_de_B schreef op zaterdag 24 oktober 2026 @ 10:14:
Er is geen bekende exploit die dit kan, behalve inderdaad een MITM proxy oid met een eigen certificaat op de cliënt.

Of gewoon proberen zonder aangepast certificaat op de client. Er zijn nog heel veel producten die validatie van certificaten (deels) uit hebben staan.

Daarnaast heb je een (kleinere) kans dat een implementatie ook standaard root certificaten vertrouwt. In dat geval heb je toevallig afgelopen week een kans gekregen om zelf eenvoudig certificaten uit te geven die mogelijk vertrouwt worden in absentie van updates en revocatieverificatie

[Jester-NL]

Laat dat nou zo ongeveer zijn waarvoor mensen en bedrijven nog daadwerkelijk betalen voor hun certificaten... Voor de garantie dat er niet dwars door de (SSL/TLS-)beveiliging heen gehackt kan worden

[bcome]

Wellicht is de documentatie van wireshark interessant voor je: https://wiki.wireshark.org/TLS

Het geeft je meerdere mogelijkheden om je lokale verkeer te controleren.

[Juup]

highking schreef op zaterdag 24 oktober 2026 @ 10:10:
Maarja, in 2026 gaat bijna alles over https en modern TLS is niet zo simpel in te zien. Ik zou graag een optie hebben om te bekijken wát een apparaat allemaal deelt met de servers waar ie mee babbelt.

Wat voor apparaat?
Ik zou als eerst een MITM proxy proberen met een eigen (unsigned) TLS certificaat.
Er is een kans dat jouw apparaat dat gewoon accepteert.

[highking]

bcome schreef op zaterdag 24 oktober 2026 @ 11:01:
Wellicht is de documentatie van wireshark interessant voor je: https://wiki.wireshark.org/TLS

Het geeft je meerdere mogelijkheden om je lokale verkeer te controleren.

niet echt:

code:

Wireshark supports TLS decryption when appropriate secrets are provided.

Als ik die zou hebben dan zou ik de vraag niet hoeven stellen

[highking]

Juup schreef op zaterdag 24 oktober 2026 @ 11:12:
[...]

Wat voor apparaat?
Ik zou als eerst een MITM proxy proberen met een eigen (unsigned) TLS certificaat.
Er is een kans dat jouw apparaat dat gewoon accepteert.

Meer in algemene zin. Maar dat is natuurlijk wel een optie om te proberen. Ben alleen bang dat het 9 van de 10 keer niet gaat werken.

[F_J_K]

Je zou zelfs afhankelijk van welke apparatuur het is, wat het doen en waar het toegang toe heeft apparatuur kunnen stellen: waar het wel werkt wil je op termijn vervangen

[CH4OS]

highking schreef op zaterdag 24 oktober 2026 @ 11:12:
niet echt:

code:

Wireshark supports TLS decryption when appropriate secrets are provided.

Als ik die zou hebben dan zou ik de vraag niet hoeven stellen

Bij een self signed certificaat heb je dat toch? Die zet je dan dus in de proxy. Een andere (makkelijke) manier is er gewoon niet.

highking schreef op zaterdag 24 oktober 2026 @ 10:28:
Ja daar zit ook weer wat in. Mijn intenties zijn goed maar als het simpel te decrypten is, dan kan het ook flink misbruikt worden. Hmm.

Dat jouw intenties goed zijn is mooi, maar op het internet kan iedereen dit lezen, ik denk niet dat iedereen dezelfde intenties heeft als jou.

[highking]

Zie de eerste regel van mijn openingspost

Ik maakte een video over FygoOS en mensen zijn sceptisch, want wat doet dat spul op de achtergrond? Soms krijg ik hardware opgestuurd met proprietaire software. Best interessant om even te checken wat dat spul dan precies allemaal naar buiten stuurt.
Als uit de pcap al blijkt dat er niets wordt verzonden (ReactOS bijvoorbeeld) dan hoef ik ook niet verder te graven, maar als er iets naar een server op het internet verzonden wordt dan kan het interessant zijn om te zien wát er dan precies verzonden wordt. Ik bedoel: een licentiecheck? Ja prima joh. De hoeveelheid inkt in mijn printer? Ehmmm...

[P_de_B]

Jester-NL schreef op zaterdag 24 oktober 2026 @ 10:52:
Laat dat nou zo ongeveer zijn waarvoor mensen en bedrijven nog daadwerkelijk betalen voor hun certificaten... Voor de garantie dat er niet dwars door de (SSL/TLS-)beveiliging heen gehackt kan worden

Dat gaat net zo goed met gratis Lets Encrypt certificaten. Betalen voor (EV) certificaten is echt niet nodig en biedt geen meerwaarde. Browsers maken ook geen verschil meer tussen dure EV certificaten of andere.

[P_de_B]

Rukapul schreef op zaterdag 24 oktober 2026 @ 10:36:
[...]

Daarnaast heb je een (kleinere) kans dat een implementatie ook standaard root certificaten vertrouwt. In dat geval heb je toevallig afgelopen week een kans gekregen om zelf eenvoudig certificaten uit te geven die mogelijk vertrouwt worden in absentie van updates en revocatieverificatie

Zeker, het hele certificaatgebeuren is tegelijkertijd enorm belangrijk maar leunt wel erg op vertrouwen van veel verschillende partijen, inclusief partijen die 4 een goede key vinden.

Het is nu relatief (?) goed afgelopen, maar als in het hele ecosysteem van certificaten een nog grotere fout wereldkundig wordt valt de hele PHP-impact in het niet ben ik bang voor.

[stfn345]

Je kunt vanwege het gedoe met Emudhra op dit moment momenteel een valide tls certificaat aanmaken voor de betreffende domein. In combinatie met een mitm proxy zou je daardoor het verkeer kunnen onderscheppen, zonder gebruik te maken van een self-signed certificaat.

Los daarvan: ik denk dat heel veel applicaties en hardware helaas prima self-signed certificates accepteren.

[CH4OS]

stfn345 schreef op zaterdag 24 oktober 2026 @ 11:34:
Je kunt vanwege het gedoe met Emudhra op dit moment momenteel een valide tls certificaat aanmaken voor de betreffende domein. In combinatie met een mitm proxy zou je daardoor het verkeer kunnen onderscheppen, zonder gebruik te maken van een self-signed certificaat.

Los daarvan: ik denk dat heel veel applicaties en hardware helaas prima self-signed certificates accepteren.

Nou, nee. Meeste browsers en besturingssystemen hebben een update gehad die de certificaten van eMudhra verwijderen en dus niet meer vertrouwen.

[Dennism]

Wat je wil is DPI (Deep Packet Inspection), dan moet je normaliter inderdaad een router (security appliance) hebben (of proxy) die dat support. Dan zet je inderdaad zelf een PKI Op, Installeer je een zelf gegenereerd SSL certificaat op de client gemaakt met die PKI (met het CA certificaat van de PKI en mogelijk intermediate certificaat zodat je op de client niet overal waarschuwing krijgt), door dan de router / proxy of wireshark ook te voorzien van die zelf gegeneerde certificaten kunnen die dan het verkeer 'afluisteren' en ontsleutelen.

Wat er dan gebeurt is dit (willekeurig voorbeeld van google).



Verkeer wordt versleuteld op de client met het cert dat je aangemaakt hebt, gaat door de het apparaat / tool heen dat dat de inspectie moet doen. Wordt daar ontsleuteld, bekeken en weer versleuteld (zodat de client gewoon blijft doen wat die doet, zonder impact).

[ Voor 31% gewijzigd door Dennism op 24-10-2026 12:05 ]

[stfn345]

CH4OS schreef op zaterdag 24 oktober 2026 @ 11:37:
[...]

Nou, nee. Meeste browsers en besturingssystemen hebben een update gehad die de certificaten van eMudhra verwijderen en dus niet meer vertrouwen.

TS wil verkeer van apparaten checken, ik durf te wedden dat die nog geen update hebben gehad hiervoor.

[F_J_K]

CH4OS schreef op zaterdag 24 oktober 2026 @ 11:37:
[...]

Nou, nee. Meeste browsers en besturingssystemen hebben een update gehad die de certificaten van eMudhra verwijderen en dus niet meer vertrouwen.

offtopic:
TLS certificaten zijn er niet alleen voor een mens met een standaardbrowser. Ellende (en voor TS nu prettig) is dat het bij ander gebruik dan dat niet per se is geblokkeerd. IOT, maar ook allerhande apps en (server- en clientside) tools, oudere Android-, Windows-, Linux-versies, oude docker images, etc.