Burp Proxy: Melhorando Avaliação Criptográfica na Plataforma Android

A nova versão do Burp Proxy, foi projetada para melhorar a análise de conexões criptografadas SSL no Android. Portanto, os desenvolvedores e pesquisadores de segurança gostam de usar Burp Proxy para examinar o tráfego da Web em PCs, e ultimamente, também tem realizado essa verificação em smartphones. Por exemplo, alguns pesquisadores de segurança interessados nessa questão, utilizaram recentemente Burp para analisar as atividades de vários aplicativos de smartphones.



Para analisar o tráfego na Web, o servidor Burp é inserido como um proxy para conexões HTTP e HTTPS no dispositivo, e um certificado auto-assinado da CA é instalado. Este certificado CA permite que Burp Proxy gere certificados on-the-fly, a fim de imitar um servidor HTTPS e aparecer como um ataque Man-in-the-Middle.

No entanto, o problema em celulares com Android é que estes dispositivos inicialmente recuperam o endereço do servidor de destino via DNS, e então usam o Proxy para acessá-lo diretamente usando CONNECT. Como Burp não sabia o nome do servidor para o qual gerar um certificado, ele usou o endereço IP do servidor como um nome comum, fazendo com que ocorressem mensagens de erro ou até mesmo ligações abortadas no smartphone. Nesse contexto, a nova versão 1.4.12, inicialmente, estabelece uma conexão SSL para o servidor de destino e, em seguida, faz o seu melhor para imitar o certificado do servidor. Burp Proxy é parte do PortSwigger do Burp Suite.


Saiba Mais:

[1] Heise On-line http://www.h-online.com/security/new...L-1663112.html