Аапо Оксман: certmitm — автоматична експлуатація помилок перевірки TLS-сертифікатів

Виступ на DEF CON 31 про проблеми перевірки TLS-сертифікатів у клієнтських застосунках. Попри широке використання TLS, розробники часто неправильно реалізують перевірку сертифікатів або використовують небезпечні налаштування бібліотек.

Дослідник представляє інструмент certmitm, який автоматично знаходить і експлуатує такі вразливості.

На прикладах показано, як це дозволяє проводити атаки типу «людина посередині» (MITM) на застосунки в системах, таких як iOS і Windows 11.