Für Entwickler, Hacker und Tester
HTTP Catcher: iPhone-Datenverkehr mitlesen
Entwickler und neugierige iPhone-Anwender haben ab Werk keine Möglichkeit, den Datenverkehr, den aktiven Apps oder auch Apples iOS-Betriebssystem selbst auf dem iPhone verursachen, unkompliziert mitzulesen.
DuckDuckGo: Woher kommen die Suchvorschläge
Tippt ihr etwa die Buchstabenkombination „no“ in eure Safari-Adressleiste ein und habt die datensparsame Suchmaschine DuckDuckGo aktiv, dann könnt ihr euch wundern woher die Vorschläge „norma“,“norisbank“ und „nokia“ kommen, habt aber keine Möglichkeit einfach unter die Haube zu blicken und nachzusehen.
Diese Möglichkeit bietet euch die 2,29 Euro teure iPhone-App HTTP Catcher an.
Der Download, der sich am ehesten als umfangreichere Charles-App beschreiben lässt, installiert auf Wunsch ein VPN-Profil, das den gesamten Datenverkehr eures iPhone durch einen lokalen Proxy tunnelt.
Da alle Online-Verbindungen mitgeschnitten werden, könnt ihr diese im Nachgang analysieren und so zum Beispiel herausfinden, dass die Safari-Eingabe „no“ an die DuckDuckGo-Adresse https://duckduckgo.com/ac/?q=no geschickt und hier mit einer JSON-Datei beantwortet wurde, die 10 Vorschläge zur Textvervollständigung mitbringt. Deren Inhalt sieht übrigens so aus:
Um auch den verschlüsselten HTTPS-Datenverkehr mitlesen zu können installiert der HTTP Catcher auf Wunsch ein eigenes Root-Zertifikat, das nach Apples iOS 12-Änderungen etwas umständlich aktiviert werden muss. Zum einen müsst ihr die Profil-Installation zulassen, zum anderen Einstellungen > Allgemein > Info > Zertifikats-Vertrauenseinstellungen besuchen und hier noch mal euer ganz spezifisches Vertrauen aussprechen.
Tester-Grundausstattung und kein Hexenwerk
Root-Zertifikat, VPN, Daten mitschneiden… – Was für den Laien erst mal besorgniserregend klingt, gehört zum Alltag vieler Entwickler, Hobbyisten und technisch interessierter Anwender und ist die Grundlage jeder zweiten Verbraucher-Test-Sendung, in deren Verlauf Apps auf ein datenschutztechnisch bedenkliches Verhalten hin abgeklopft werden.
Hier sind meistens nämlich keine Ausnahme-Hacker am Werk, sondern langgediente Warentest-Mitarbeiter, die mal eben 10 Apps zum aktuellen Test-Thema starten, einen Proxy mitlaufen lassen und anschließend nachschauen, welche davon Nutzerdaten im Klartext und über unverschlüsselte Leitungen an ihre Haus-Server übermittelt hat.
Tests, die ihr mit HTTP Catcher jetzt auch in Eigenregie durchführen könnt.
Solltet ihr Charles schon besitzen, dann notiert euch noch kurz folgendes: HTTP Catcher schneidet mit installiertem Zertifikat alle HTTPS-Request mit und will nicht immer eine gesonderte Ausnahme-Bestätigung haben. Zudem gefällt die übersichtliche Darstellung von Kopfzeilen und Antworten, das einfache Umschreiben von Requests, die Blacklist und die Nur-Text-Darstellung der Server-Antworten.
