如何解密https

Question

如何使用wireshark或fiddler等网络嗅探器解密https，而无需对服务器进行管理访问？例如，如果我登录到gmail，我如何从我的计算机设置wireshark来读取tls上的所有http标头？我在网上看到有关使用wireshark解密https的教程，但他们都说我需要访问服务器的私钥，我认为这意味着无法解密任何类似我提到的例子，gmail，这是否正确？

Answer 1

为了证明s https我们同意不能解密网络流量。

Answer 2

如果您打开解密https选项，Fiddler将从您的电脑执行此操作。您只能为您的流量执行此操作，而不是其他人。

http://www.fiddler2.com/Fiddler/help/httpsdecryption.asp

Answer 3

确实，在一般情况下，你不能这样做。

在没有服务器密钥的情况下执行此操作的唯一方法是启动中间人攻击，例如使用sslsniff之类的工具或具有已知密钥的代理服务器。如果需要，您甚至可以创建自己的CA并指示您的浏览器信任它，并为您想要嗅探的内容发布您自己的私钥+证书;然后你可以嗅到你自己的目标流量。

Answer 4

原则上，您无法做到这一点，因为HTTPS的目的是确保连接的隐私。