Iptables: string de filtragem criptografada por ssl

Question

Eu preciso filtrar (enviar para o conjunto de BANRULES) pacotes HTTP / https de entrada com uma certa string (matchword). Eu faço fácil quando o SSL não está em uso (porta 80):

iptables -A INPUT -p tcp -m tcp --dport 80 -m string --string "matchword" --algo bm --to 65535 -j BANRULES

Mas isso não funciona (por causa da criptografia de pacotes) quando o SSL está em uso (porta 443):

iptables -A INPUT -p tcp -m tcp --dport 443 -m string --string "matchword" --algo bm --to 65535 -j BANRULES

Como posso fazer isso? Muito obrigado.

    

Answer 1

Se o SSL é criptografado de ponta a ponta com chaves que você não tem acesso, e uma das extremidades não é a caixa que você está tentando filtrar, não há maneira (eficiente) de fazer isso com SSL. Esse é o ponto de criptografia .

Você pode tentar executar um homem no meio contra um dos extremos da conexão, mas :

• Isso pode ou não ser ilegal, dependendo das circunstâncias;
• O cliente pode se familiarizar com o MITM se a sessão HTTPS usar o grampeamento HSTS e OCSP;
• Sem controle direto (administrativo / acesso root) para o cliente ou o servidor, seria muito difícil executar o homem no meio ataque com sucesso.

Como você filtra o SSL? Bem, você tem algumas opções:

• Obtenha acesso administrativo / raiz legítimo ao cliente, servidor ou ambos e configure-os para aceitar um certificado para o qual você tenha a chave privada na caixa do seu roteador;
• Fazer algo ilegal e / ou moralmente repreensível como usuários desavisados do MITM;
• Prove que P = NP e, em seguida, desenvolva um algoritmo eficiente para fatorar inteiros;
• Jogue um datacenter enorme no brute forçando cada bloco criptografado (sinto muito pela latência de seus usuários, no entanto, mesmo no melhor dos casos);
• Tente analisar a "forma" do tráfego (análise da forma de tráfego - Google) para determinar se é algo que você pode querer bloquear; ou - minha solução preferida:
• não .