【Wireshark】WiresharkでSSL/TSLの暗号化通信を復号化する

Contents

1　WiresharkでSSL/TSL通信を復号化する
2　プリマスターシークレット・ログ
- 2.1　Windowsでの環境変数”SSLKEYLOGFILE”の設定
- 2.2　Wiresharkにプリマスターシークレット・ログのファイルパスを設定する
3　サーバーの秘密鍵を参照する

1　WiresharkでSSL/TSL通信を復号化する

Wiresharkでは、SSL/TSLの暗号化された通信を、復号化して解析することができます。
次に示す2つの方法があります。

① プリマスターシークレット・ログファイルを利用する
（環境変数”SSLKEYLOGFILE”を設定すると、出力されるようになる）
② サーバーの秘密鍵を参照する

この方法は、以下のプロトコルのSSL/TLS通信であっても、適用することができます。

・ HTTPS(443番)
・ SMTPS(465番)
・ POP3S(995番)
・ SIPS(5061番)・・・当然SIPサーバーの秘密鍵は持っていないので、①の方法のみ可

SIPは、あまりなじみがないのかもしれませんが、VoIP規格の1つで、
音声や映像などをネットワーク上でリアルタイムに通信させるプロトコルです。

身近な例として、IP電話の OCN 050plusが5061番のSIPSを使用しています。

図1.1-1に、①の方法によるSMTPS通信の復号化の例を示します。

2　プリマスターシークレット・ログ

環境変数”SSLKEYLOGFILE”に、
プリマスターシークレット・ログの出力パスを設定することにより、
プリマスターシークレット・ログを取得できるようになります。

ここで設定したプリマスターシークレットのログ出力パスをWiresharkに設定すれば、
SSL/TLSの暗号通信が復号化されて見られるようになります。

プリマスターシークレットとは、後からマスターシークレットを生成するための元データです。

マスターシークレットは、
暗号化通信を行うにあたって利用される以下の要素を生成するための元データとなります。

・ 暗号化通信に利用する鍵(通信対象のアプリケーションデータの暗号化に使用する鍵)
・ メッセージ認証コード(MAC)に使用する鍵
・ CBCモードなどで利用される初期化ベクトル

ちなみに、プリマスターシークレット・ログは、
図2.0.-1に示すようなテキスト形式のファイルです。

2.1　Windowsでの環境変数”SSLKEYLOGFILE”の設定

特定のコマンドのみ、特定のユーザーのみ、またはPC全ユーザー、
と環境変数の有効なスコープにより設定方法はいくつかありますが、
ここではPC全ユーザーで有効となる環境変数”SSLKEYLOGFILE”の設定方法を示します。

まず、
「スタートメニュー」⇒「設定」⇒「システム」⇒「詳細情報」⇒「システムの詳細設定」の順で
「システムのプロパティ」を開きます。

図2.1-1に示すように、
「システムのプロパティ」の「詳細設定」で、「環境変数(N)…」をクリックします。

図2.1-2において、「システム環境変数(U)」の「編集(I)…」をクリック。
開いたダイアログに、次のよう設定します。

2.2　Wiresharkにプリマスターシークレット・ログのファイルパスを設定する

プリマスターシークレット・ログのファイルパスを、
以下に示す手順で、Wiresharkに設定します。

ⅰ）Wiresharkを立ち上げ、メニュー「編集(E)」⇒「設定…(P)」をクリックする。

ⅱ）左メニュー「Protocols」リストから「TLS」を選択します。
開いた右ペイン「Transport Layer Security」の「(Pre)-Master-Secret log filename」に、
2.1節で設定したプリマスターシークレット・ログのファイルパスを設定します。

# 「(Pre)」と括弧付きになっているので、
# 条件付きで「マスターシークレット」でも良いってことなのかな？