Interceptar tráfico cuando la aplicación no quiere

Con el proxy en medio ves que Colibrí habla con su API por un canal cifrado: nadie en la red intermedia —una wifi pública, por ejemplo— puede leer ni alterar esas peticiones. Eso es exactamente lo que el cifrado de transporte debe garantizar, y está bien. Pero ese cifrado protege el tráfico entre el dispositivo y el servidor; no protege contra el dueño del propio dispositivo, que puede instalar su certificado y mirar su propio tráfico. Confundir las dos cosas lleva a conclusiones equivocadas sobre qué se puede confiar al cliente.

En el laboratorio, con tu certificado instalado en el emulador, lees el tráfico de Colibrí en claro dentro del dispositivo, aunque en la red siga cifrado. El canal está bien protegido; el dueño del extremo siempre lo ve.

Colibrí intenta impedir la interceptación con fijación de certificado. En el laboratorio la desactivas modificando la aplicación o enganchando la comprobación, y el tráfico vuelve a verse. Es tentador anotar «fijación saltada» como el hallazgo, pero eso mide la resistencia de una defensa del cliente, no un fallo del sistema. La fijación de certificado sirve para dificultar ataques de intermediario reales contra usuarios reales en la red; que el analista la salte en su propio dispositivo de pruebas no significa que un atacante en una wifi pueda leer a los usuarios. El valor de esta tarea es ver el tráfico para analizar la API, no «vencer» la fijación.

En Colibrí saltas la fijación y empiezas a leer las peticiones a la API. El hallazgo no es que saltara: es lo que ahora puedes revisar del diálogo con el servidor.

Al leer las peticiones de Colibrí encuentras algo que sí importa: junto al identificador de sesión, la aplicación manda en cada petición el rol del usuario («cliente» o «administrador») como un campo que el propio cliente rellena. Si ese campo es lo que el servidor usa para decidir qué se permite, cambiarlo a «administrador» en el proxy podría dar acceso a funciones que no corresponden. Ese es el hallazgo: no que se viera el tráfico, sino que el servidor podría estar confiando en un dato que el cliente controla.

Anotas la hipótesis para comprobarla contra la API en el módulo siguiente. La corrección, si se confirma, no es cifrar más el canal: es que el servidor derive el rol de la sesión, nunca de un campo que manda el cliente.

Abre el laboratorio y lee la captura del proxy entre Colibrí y su API. Busca la petición en la que la propia aplicación rellena y manda el campo del rol del usuario: en la revisión de esa petición hay un código de la sala. Escríbelo tal cual.