El proxy en medio y su certificado

Un proxy de interceptación escucha en una dirección local, por defecto 127.0.0.1 y el puerto 8080 en Burp, y el navegador de pruebas se configura para enviarle todo su tráfico. Cada petición pasa por él antes de llegar al servidor y cada respuesta, antes de volver al navegador. Mientras pasa, el proxy la anota en su historial; si la interceptación está activa, además la detiene hasta que decidas reenviarla, cambiarla o descartarla.

Con HTTPS hay un problema: el contenido va cifrado entre el navegador y el servidor. Para poder leerlo, el proxy termina la conexión del navegador con un certificado que él mismo firma con su propia autoridad, y abre otra conexión cifrada hacia el servidor. El navegador solo acepta ese certificado si ya confía en la autoridad del proxy; mientras no, muestra la pantalla de «su conexión no es privada». Esa pantalla no es un fallo del sitio ni del proxy: es el navegador haciendo su trabajo. En Burp, la autoridad se descarga del propio proxy, a través de su puerto de escucha, y se instala como autoridad de confianza en el navegador de pruebas.

En el laboratorio, aviso-https.txt guarda la pantalla del perfil de pruebas de Tamarindo antes de instalar nada. Léela con cat y fíjate en el motivo que da el navegador.

Instalar la autoridad del proxy en un navegador es dar por bueno todo lo que ella firme. Quien tuviera su clave privada podría fabricar certificados válidos para cualquier sitio ante cualquiera que confíe en ella. Por eso la autoridad se instala solo donde hace falta, en un perfil de navegador creado para la prueba, y no en el almacén del sistema ni en el navegador personal. La clave privada se queda en la estación de pruebas y se trata como un secreto del encargo.

El otro límite es el tráfico: el proxy solo ve lo que pasa por el navegador que apunta hacia él, es decir, tu propia sesión de prueba. No es una forma de mirar el tráfico de otras personas ni de otros equipos, y usarlo así sería interceptar comunicaciones ajenas, algo que ningún alcance autoriza.

Abre el laboratorio y lee certificado-ca.txt. La exportación dice dónde quedó instalada la autoridad.

Antes de tener la autoridad instalada, el proxy solo ve el destino de una conexión HTTPS: un CONNECT hacia un host y un puerto, y a partir de ahí un túnel cifrado cuyo contenido no puede leer. Con la autoridad instalada y el host dentro del alcance, el CONNECT deja de ser opaco y se ven método, ruta, cabeceras y cuerpo de cada petición.

Hay hosts que conviene dejar sin descifrar a propósito, aunque la autoridad esté instalada: los que están fuera del contrato, como la pasarela de pago de un tercero. El proxy los deja pasar tal cual y su historial muestra el CONNECT sin peticiones. Que no se vea nada no es un error: es una decisión de configuración, y quien lee un historial tiene que saberlo para no concluir que un host «no hizo nada».

Lee historial-https.txt, la parte posterior a la instalación del certificado, y busca el destino que sigue en cero peticiones visibles.

Al cerrar el encargo, la configuración del proxy se desmonta: se retira la autoridad del perfil de pruebas, se cierra el perfil y la clave privada se conserva o se destruye según lo pactado con el cliente, nunca se deja instalada por costumbre. El historial y los mensajes guardados son evidencia del encargo y pueden contener sesiones y datos de personas: se custodian con el mismo cuidado que el resto de la evidencia.

Piensa en la decisión que ya está tomada en el laboratorio: la autoridad solo está en el perfil de pruebas.