O SSLsplit é a ferramenta certa para interceptar e criptografar novamente o tráfego HTTPS em um roteador wi-fi?

Resumindo, sim, pode ser a ferramenta certa, mas na verdade não faz diferença se você estiver usando SSLStrip , SSLSplit , mitmproxy ou qualquer outra ferramenta que possa fazer o seu trabalho, você deve apenas tomar cuidado com o modo como funciona.

Como o @Quantim mencionou, isso não é possível sem instalar/ter um certificado/CA personalizado no dispositivo atrás do roteador, pois ele precisa de um CA personalizado para atuar como um intermediário para conexões SSL e precisa ser capaz de gerar e assinar certificados nos quais a vítima confia . Assim, a vítima deve ter o certificado CA raiz do invasor em seu armazenamento confiável. Explicar como as CAs funcionam e como você pode alcançar o resultado desejado usando as ferramentas mencionadas está além do escopo desta resposta, mas dependendo do tipo de cliente - navegador de desktop ou celular - você deve observar que a instalação dos certificados raiz difere um pouco.

O SSLsplit funciona de maneira bastante semelhante a outras ferramentas de proxy SSL transparentes - como o mitmproxy, que possui mais recursos e é mais complexo. Ele age como um intermediário entre o cliente e o servidor real. Desde que o tráfego esteja sendo redirecionado para o servidor no qual o SSLsplit está sendo executado e escutando, alterando o gateway padrão , falsificação de ARP , falsificação de entradas de DNS ou qualquer outro meio. Em outras palavras, como você deve ter adivinhado, o SSLsplit capta as conexões SSL de uma forma que finge ser o servidor real ao qual o cliente está se conectando e deseja se comunicar. Na verdade, ele gera dinamicamente um certificado e o assina com a chave privada de um certificado CA no qual o cliente deve - vai - confiar.

Então, para responder à sua pergunta " O SSLsplit é a ferramenta certa para interceptar e criptografar novamente o tráfego HTTPS em um roteador wi-fi? ", sim, pode ser, mas você sabe o suficiente para fazer isso? Se sim, vá e ganhe o jackpot com sua pesquisa.

E para responder " SSLsplit com regras iptables modificadas é suficiente e uma maneira razoável de fazer isso, ou eu teria que modificar outras partes do sistema de rede Linux também? ", Devo dizer que se você configurou corretamente seus IPTables conjuntos de regras e regras NAT/DNAT, e se seus clientes puderem considerar o certificado CA como confiável, sim, isso será suficiente - com conjuntos de regras iptables modificados e redirecionando o tráfego dos clientes para o servidor que você vai interceptar os clientes ' tráfego, como mencionado antes. A propósito, é preciso observar que a palavra " transparente " em computação significa (de um processo ou interface) funcionando sem que o usuário esteja ciente de sua presença.

Trecho da documentação original:

O SSLsplit suporta conexões TCP simples, SSL simples, HTTP e HTTPS em IPv4 e IPv6. Para conexões SSL e HTTPS, o SSLsplit gera e assina certificados X509v3 forjados on-the-fly , com base no DN do assunto do certificado do servidor original e na extensão subjectAltName. O SSLsplit suporta totalmente a Indicação de Nome do Servidor (SNI) e é capaz de trabalhar com chaves RSA, DSA e ECDSA e conjuntos de cifras DHE e ECDHE. Dependendo da versão do OpenSSL, o SSLsplit suporta SSL 3.0, TLS 1.0, TLS 1.1 e TLS 1.2 e, opcionalmente, SSL 2.0 também. O SSLsplit também pode usar certificados existentes dos quais a chave privada está disponível, em vez de gerar certificados forjados. O SSLsplit oferece suporte a certificados CN com prefixo NULL e pode negar solicitações OCSP de maneira genérica. Para conexões HTTP e HTTPS, o SSLsplit remove os cabeçalhos de resposta para HPKP para evitar a fixação de chave pública , para HSTS permitir que o usuário aceite certificados não confiáveis ​​e protocolos alternativos para evitar a mudança para QUIC/SPDY. Como um recurso experimental, SSLsplit oferece suporte a mecanismos STARTTLS de maneira genérica.

Redirecionamento

Como o OP precisa saber como redirecionar solicitações para SSLsplit, mas não deseja configurar um proxy - conforme mencionado nos comentários - darei uma visão rápida de como fazer isso e espero que ajude:

Scenario 1 : If SSLsplit is on the OpenWRT which you are using - i.e. if SSLsplit is set on the GateWay which victims (clients) are connecting to :


                        |
         VICTIMS        |       ATTACKER
                        |
        +-------~+      |       (GATEWAY)       If SSLsplit is set on the Gateway users are gonna connect to, you only need to redirect some ports to those SSLsplit is listening on
        |        |      |                       SSLsplit will be running on two ports: 8080 for non-SSL TCP connections and 8443 for SSL connections.
        |        | ---> |
        |        |      |                       sysctl -w net.ipv4.ip_forward=1
        +~~~~~~~~+      |                       iptables -t nat -A PREROUTING -p tcp --dport 80 -j REDIRECT --to-ports 8080
                        | \                     iptables -t nat -A PREROUTING -p tcp --dport 443 -j REDIRECT --to-ports 8443    (HTTPS)
        +-------~+      |  \    +~~~~~~~~+      iptables -t nat -A PREROUTING -p tcp --dport 636 -j REDIRECT --to-ports 8443    (LDAPS)
        |        |      |   \   |        |      iptables -t nat -A PREROUTING -p tcp --dport 587 -j REDIRECT --to-ports 8443    (MSA)      Encryption = StartTLS
        |        | ---> | ===➤  |        |      iptables -t nat -A PREROUTING -p tcp --dport 465 -j REDIRECT --to-ports 8443    (SMTPS)    Encryption = SSL
        |        |      |   /   |        |      iptables -t nat -A PREROUTING -p tcp --dport 993 -j REDIRECT --to-ports 8443    (IMAPS)    Encryption = StartTLS
        +~~~~~~~~+      |  /    +~~~~~~~~+      iptables -t nat -A PREROUTING -p tcp --dport 5222 -j REDIRECT --to-ports 8080   (XMPP)
                        | /                     ...
        +-------~+      |
        |        |      |
        |        | ---> |
        |        |      |
        +~~~~~~~~+      |
                        |
                        |

Scenario 2 : AND IF SSLsplit is not set on the GateWay whic clients are connecting to - You will be in need of setting DNAT as the following :



         VICTIMS        |        GATEWAY
                        |
        +-------~+      |
        |        |      |
        |        | ---> |                                                       IPTables will be like this :
        |        |      |
        +~~~~~~~~+      |                                SSLsplit               iptables -t nat -A PREROUTING -d x.x.x.x/CIDR -p tcp -m tcp --dport 443 -j DNAT --to-destination z.z.z.z:8443
                        | \                                                     iptables -t nat -A PREROUTING -d x.x.x.x/CIDR -p tcp -m tcp --dport 465 -j DNAT --to-destination z.z.z.z:8443
        +-------~+      |  \    +~~~~~~~~+              +~~~~~~~~+              ...
        |        |      |   \   |        |              |        |        
        |        | ---> | ===➤  |        |  --------->  |        |              In this scenario, all packets arriving on the router with a destination of x.x.x.x/CIDR will
        |        |      |   /   |        |              |        |              depart from the router with a destination of z.z.z.z
        +~~~~~~~~+      |  /    +~~~~~~~~+              +~~~~~~~~+
                        | /
        +-------~+      |       Redirects desired connection from somewhere
        |        |      |       to somewhere else to desired ports.
        |        | ---> |
        |        |      |
        +~~~~~~~~+      |
                        |
                        |

Preste atenção ao definir o valor de net.ipv4.ip_forwardcomo 1. O comando que usei acima sysctl -wnão é permanente. Se você quiser configurá-lo permanentemente, você deve editar o arquivo /etc/sysctl.confonde você pode adicionar uma linha contendo net.ipv4.ip_forward = 1.

Por padrão, a maioria das distribuições do Linux terá o encaminhamento de IP desabilitado. E IMHO, esta é uma boa ideia, já que a maioria das pessoas não precisará usá-lo, mas como você está configurando um roteador/gateway Linux - útil para servidor VPN (pptp ou ipsec) - você precisa habilitar o encaminhamento. Isso pode ser feito de várias maneiras, conforme mostrei algumas.

Isso não é possível sem instalar um certificado/CA personalizado no dispositivo atrás do roteador. Em outros casos, você poderá atuar como qualquer serviço de rede. O SSLsplit gera apenas seu próprio certificado ou usa um para o qual você fornece a chave privada

O SSLsplit também pode usar certificados existentes dos quais a chave privada está disponível, em vez de gerar certificados forjados. SSLsplit oferece suporte a certificados CN de prefixo NULL e pode negar solicitações OCSP de maneira genérica

Fonte

Em ambos os casos, o cliente sem seu certificado/CA personalizado obtém um erro de emissor de certificado inválido

Interceptação transparente significa que você não precisa especificar cada host que deseja interceptar e pode interceptar todo o tráfego, mas ainda é um ataque MitM em SSL

Você tem duas partes aqui: o SSLsplit, que atua como o servidor da Web ao qual os clientes estão se conectando, e o NAT, que troca endereços de destino em pacotes para redirecioná-los ao servidor SSLsplit.

O NAT precisa ser configurado no roteador que os dispositivos clientes usam, alterando o endereço de destino dos pacotes do servidor de destino real para o servidor SSLsplit.

Então o SSLsplit pode pegar a conexão e fazer o seu trabalho: conectando-se ao host externo (disponível no handshake TLS) e encaminhando a resposta.

Portanto, a única coisa do ponto de vista da rede é que você precisa garantir que os clientes obtenham tais opções de rede que seu gateway padrão aponte para um roteador fazendo o NAT.