Buonasera a tutti,
grazie in anticipo a chiunque di voi mi dedicherà anche un solo minuto del suo tempo per farmi più chiarezza sulla seguente problematica: è possibile vedere le richieste HTTPs (usando come protocollo TLS 1.2/1.3, no protocollo SSL) se faccio l'ipotesi di essere un MITM?
Ho visto dei video che apparentemente fanno finta di essere un "server" che prende la richiesta e la inoltrano al server destinatario della richiesta legittima. Facendo così è come se creassero due distinti canali a cui il MITM ha accesso e riesce a vedere le richieste passare. Dato che non vi hanno mostrato come fare, volevo chiedervi: è una cosa fattibile o meno? Perché ho riscontrato un applicativo che utilizzo quotidianamente che tramite un parametro che viene passato tramite GET ed una parte del campo cookie posso praticamente loggarmi come admin in tale applicativo.
Essendo però un applicativo che viaggia tramite HTTPs (TLS 1.2/1.3), se non si riesce a cifrare le richieste TLS che girano nella rete (assumendo che io sia un MITM) mi sentirei di dire che il prodotto è sicuro.
Grazie a chiunque risponda!
grazie in anticipo a chiunque di voi mi dedicherà anche un solo minuto del suo tempo per farmi più chiarezza sulla seguente problematica: è possibile vedere le richieste HTTPs (usando come protocollo TLS 1.2/1.3, no protocollo SSL) se faccio l'ipotesi di essere un MITM?
Ho visto dei video che apparentemente fanno finta di essere un "server" che prende la richiesta e la inoltrano al server destinatario della richiesta legittima. Facendo così è come se creassero due distinti canali a cui il MITM ha accesso e riesce a vedere le richieste passare. Dato che non vi hanno mostrato come fare, volevo chiedervi: è una cosa fattibile o meno? Perché ho riscontrato un applicativo che utilizzo quotidianamente che tramite un parametro che viene passato tramite GET ed una parte del campo cookie posso praticamente loggarmi come admin in tale applicativo.
Essendo però un applicativo che viaggia tramite HTTPs (TLS 1.2/1.3), se non si riesce a cifrare le richieste TLS che girano nella rete (assumendo che io sia un MITM) mi sentirei di dire che il prodotto è sicuro.
Grazie a chiunque risponda!