onsdag, april 22, 2015

Läsa ut information om ssl-certifikat via mobilen

Alex Brown | Flickr (CC BY 2.0)



....visa sig vara mycket svårare än jag trodde.

Efter tidigare inlägg angående gratis wifi (här & här) ville jag kunna se om det faktiskt är ett falskt certifikat som kanske ingår i någon övervakande proxylösning, eller om det är något annat problem på anslutningen.

Jag letade rundor efter en app som kunde göra detta utan att lyckas.
Där fanns någon ~20;- app som troligen kunde läsa ut ett certifikat men jag anser ändå att det inte ska behöva kosta något ;)

I vanliga desktop-browsers kan man oftast klicka på hänglåset och få information om ssl/tls-anslutningen, om certet är äkta och vem som utfärdat detta.

Jag testade i mobilen med Chrome - funkade inte.
Firefox - funkade inte (förutom godkända cert där man kunde läsa företaget som utfärdat certet)
Installerade t.o.m en extra browser Ghostery Privacy Browser. Denna webbläsare svalde alla certifikat utan varning, äkta eller inte, utan något sätt att se att man ens befann sig på en krypterad anslutning....

Det fanns även portar av den populära nätverksskannern Nmap.
Nmap kan läsa ut certifikat men då krävs ett script, som inte gick att få in i appen.


Det slutade med att jag drog in BusyBox och Android Terminal i telefonen.
I BusyBox distributionen fanns gamla hederliga cURL med vilken man kan få ut certifikatinformation med följande kommando:

curl -v -k https://url_till_server.tld

Växeln -v betyder att cURL ska vara lite pratigare och ge mer information request och headers. Växel -k innebär att man godkänner anslutningen även om certificatinformationen är falsk/självsignerad.

Utskriften är inte speciellt lättläst men man kan få ut lite info om utfärdare och datum.

Har någon tips på hur man kan göra detta på ett lättare sätt så får ni gärna skriva en rad.
OBS. det måste kunna köras i mobilen. Orootad.