SSL/TLS Decryption Forensics

Définition

Le déchiffrement SSL/TLS en contexte forensique permet d'inspecter le contenu de communications chiffrées normalement opaques, révélant les données échangées entre un malware et son C2, les fichiers exfiltrés, ou les activités web d'un utilisateur. Sans déchiffrement, les investigations réseau modernes sont significativement limitées car la grande majorité du trafic web est désormais chiffrée. Les méthodes de déchiffrement TLS disponibles en contexte forensique sont plusieurs. La méthode via les clés pre-master (SSLKEYLOGFILE) est la plus propre : les navigateurs Chromium et Firefox supportent une variable d'environnement SSLKEYLOGFILE qui enregistre les clés de session TLS dans un fichier. Ce fichier peut être chargé dans Wireshark (Preferences > Protocols > TLS > Pre-Master Secret log filename) pour déchiffrer automatiquement les sessions TLS dans un PCAP. Pour les malwares, cette approche n'est généralement pas applicable directement. L'inspection TLS via proxy MITM (Man-in-the-Middle) dans un environnement de sandbox est la méthode la plus efficace pour les malwares : l'environnement d'analyse est configuré pour router tout le trafic via un proxy SSL-intercepting (mitmproxy, Fiddler, Burp Suite) qui déchiffre et rechiffre les communications avec un certificat d'autorité de confiance. Cette approche révèle le contenu des communications C2 TLS, mais nécessite que le malware fasse confiance à l'autorité du proxy (installation du certificat CA dans le trust store Windows/système). Pour les analyses forensiques offline (sans exécution dans un sandbox), le fingerprinting JA3/JA3S permet d'identifier les applications et frameworks TLS à partir des paramètres du handshake (cipher suites, extensions, versions) sans déchiffrement. Des bases de données de fingerprints JA3 connus permettent d'identifier Cobalt Strike, Metasploit, et d'autres outils d'attaque uniquement depuis les métadonnées TLS. Le Perfect Forward Secrecy (PFS) via les échanges de clés Diffie-Hellman éphémères (DHE, ECDHE) rend impossible le déchiffrement rétroactif même avec la clé privée du serveur — une contrainte importante pour les investigations forensiques qui ne peuvent pas déchiffrer un ancien PCAP même avec accès aux certificats.