App-Datenverkehr mitlesen: Charles durchleuchtet auch HTTPS-Verbindungen

Wie einfach sich iPhone-Apps belauschen lassen haben wir euch bereits im Winter 2011 demonstriert und damals auf den HTTP-Proxy der Burp Suite verwiesen. Mit der kostenlosen Software-Lösung lässt sich der eigene Rechner zum Proxy-Server umkonfigurieren und klemmt sich anschließend zwischen euer iPhone und das Internet.

Einsetzen lässt sich die so geschaffene Option zum hausgemachten Man-in-the-Middle-Angriffs auf euer persönliches Gerät etwa, um den persönlichen Wissensdurst zu befriedigen.

Wenn ihr euch zum Beispiel fragen solltet, von wo die Applikation Rabatt – Nutzer geben hier freiwillig die aktuellen iTunes-Karten-Rabatte ein, die wir in regelmäßigen Abständen veröffentlichen – eigentlich ihre Daten abruft, reichen fünf Minuten mit der Burp Suite und schon stolpert ihr über diese Web-Adresse. Die JSON-Datenquellen, die die Rabatt-App mit den Informationen füttert, die euch anschließend auf dem Display angezeigt werden.

Nicht alle Applikationen gestatten jedoch das einfach Mitlesen des Datenverkehrs. Viele professionelle Anwendungen setzen zum Abruf ihrer Daten verschlüsselte Verbindungen ein, an denen sich die einfache Ausgabe der Burp Suite ihre Zähne ausbeißt.

Vorhang auf für Charles. Der Für Windows und Mac erhältliche Proxy bietet eigene Zertifikate an, mit denen sich auch geschützte Verbindungen durchleuchten lassen und hilft euch herauszufinden, was genau hinter den Kulissen eurer Lieblings-Apps passiert.

Zum Einsatz der Charles Applikation hat der Entwickler Tim Rogers jetzt eine Schritt-für-Schritt-Anleitung ins Netz gestellt, die sich hier einsehen lässt und grob in vier Punkten beschrieben werden kann:

• Charles installieren.
• SSL Zertifikat laden und installieren.
• Proxy konfigurieren.
• Verbindung aufbauen und mithören.

Ein Setup, das Rogers häufig dazu nutzt, die privaten APIs interessanter Anwendungen zu verstehen und diese in eigene Projekte zu implementieren. Doch die Anleitung eignet sich eben so gut um den Datenverkehr interessanter Applikationen mitzuhören. Viel Spaß.