Für Entwickler, Hacker und Tester
iPhone-Datenverkehr mitlesen: HTTP Catcher in Version 2.0
Entwickler und neugierige iPhone-Anwender haben „ab Werk“ erst mal keine Möglichkeit, den Datenverkehr, den aktiven Apps oder auch Apples iOS-Betriebssystem selbst auf dem iPhone verursachen, unkompliziert mitzulesen.
DuckDuckGo: Woher kommen die Suchvorschläge
Tippt ihr etwa die Buchstabenkombination „nor“ in eure Safari-Adressleiste ein und habt die datensparsame Suchmaschine DuckDuckGo aktiv, dann könnt ihr euch wundern woher die Vorschläge „norma“ und „norisbank“ kommen, habt aber keine Möglichkeit einfach unter die Haube zu blicken und nachzusehen.
Doch es gibt Mittel und Wege hier nachzusehen. Neben der kürzlich aktualisierten Anwendung mitmproxy – ein Freeware-Download der auf eurem Rechner arbeitet und die Online-Kommunikation eures iPhones mitschneidet – bietet sich auf dem iPhone die beiden Apps Charles und HTTP Catcher an. Der HTTP Catcher ist jetzt in der generalüberholten Version 2.0 erhältlich.
Der Download installiert auf Wunsch ein VPN-Profil, das den gesamten Datenverkehr eures iPhone durch einen lokalen Proxy tunnelt.
Da alle Online-Verbindungen mitgeschnitten werden, könnt ihr diese im Nachgang analysieren und so zum Beispiel herausfinden, dass die Safari-Eingabe „nor“ an die DuckDuckGo-Adresse https://duckduckgo.com/ac/?q=nor geschickt und hier mit einer JSON-Datei beantwortet wurde, die 10 Vorschläge zur Textvervollständigung mitbringt. Deren Inhalt sieht übrigens so aus:
Um auch den verschlüsselten HTTPS-Datenverkehr mitlesen zu können installiert der HTTP Catcher auf Wunsch ein eigenes Root-Zertifikat, das nach Apples iOS 12-Änderungen etwas umständlich aktiviert werden muss. Zum einen müsst ihr die Profil-Installation zulassen, zum anderen Einstellungen > Allgemein > Info > Zertifikats-Vertrauenseinstellungen besuchen und hier noch mal euer ganz spezifisches Vertrauen aussprechen.
Tester-Grundausstattung und kein Hexenwerk
Root-Zertifikat, VPN, Daten mitschneiden… – Was für den Laien erst mal besorgniserregend klingt, gehört zum Alltag vieler Entwickler, Hobbyisten und technisch interessierter Anwender und ist die Grundlage jeder zweiten Verbraucher-Test-Sendung, in deren Verlauf Apps auf ein datenschutztechnisch bedenkliches Verhalten hin abgeklopft werden.
Hier sind meistens nämlich keine Ausnahme-Hacker am Werk, sondern langgediente Warentest-Mitarbeiter, die mal eben 10 Apps zum aktuellen Test-Thema starten, einen Proxy mitlaufen lassen und anschließend nachschauen, welche davon Nutzerdaten im Klartext und über unverschlüsselte Leitungen an ihre Haus-Server übermittelt hat.
Tests, die ihr mit HTTP Catcher auch in Eigenregie durchführen könnt.
Solltet ihr Charles schon besitzen, dann notiert euch noch kurz folgendes: HTTP Catcher schneidet mit installiertem Zertifikat alle HTTPS-Request mit und will nicht immer eine gesonderte Ausnahme-Bestätigung haben. Zudem gefällt die übersichtliche Darstellung von Kopfzeilen und Antworten, das einfache Umschreiben von Requests, die Blacklist und die Nur-Text-Darstellung der Server-Antworten, die in der neuen Version noch deutlich übersichtlicher ausfallen als bislang.
Im direkten Vergleich mit Charles kostet der HTTP Catcher übrigens weniger als die Hälfte. Während für Charles 9,99 Euro fällig werden, kostet die Vollversion des HTTP-Catcher 3,99 Euro, einmalig.
