Как расшифровать трафик TLS с помощью Wireshark с использованием асинхронного шифрования RSA?

Я хочу иметь возможность захватывать и расшифровывать TLS-трафик, который мое внутреннее приложение (к которому у меня нет доступа) отправляет в Интернет. (Для тестирования я использую Postman для создания запроса на защищенный сервер.)

1. Я добавил Nginx в качестве обратного прокси.

2. Я создал самоподписанный сертификат с помощью следующей команды:

   sudo openssl req -x509 -nodes -days 365 -newkey rsa:2048 -keyout localhost.key -out localhost.crt
   

3. Я добавил конфигурацию ssl в файл сертификата / etc / nginx / sites-enabled / default.

   server {
   
        # SSL configuration
        #
        listen 443 ssl default_server;
        ssl_certificate /home/mavi/nginx/keys/localhost.crt;
        ssl_certificate_key /home/mavi/nginx/keys/localhost.key;
        ssl_protocols TLSv1.2 TLSv1.1 TLSv1;
        location / {
                # First attempt to serve request as file, then
                # as directory, then fall back to displaying a 404.
                #try_files $uri $uri/ =404;
                proxy_pass https://myService.com;
                proxy_http_version 1.1;
        }
   }
   

4. Я добавил ключ, который создал с помощью OpenSSL в Wireshark Правка> Настройки> SSL> Список ключей RSA.

5. Я создаю запрос, указывающий на мой прокси (HTTPS://127.0.0.1), и он перенаправляет запрос во внешнюю службу, и я получаю правильный ответ.

6. Я захватил трафик, сделанный запросом предварительного просмотра, но Wireshark не может его расшифровать.

Почему я не могу расшифровать данные, если использую обмен ключами RSA?

Я исследовал (поправьте меня, если я ошибаюсь) типы асинхронного шифрования. Я знаю, что RSA отправляет клиенту открытый ключ со своим сертификатом, а затем клиент использует этот открытый ключ для шифрования данных. Затем, когда эти зашифрованные данные отправляются на сервер, он использует закрытый ключ для дешифрования информации. Итак, если я использую этот закрытый ключ в Wireshark, я смогу расшифровать данные, верно?

Кроме того, я прочитал, что в целях безопасности мы прекратили использование RSA и теперь перешли на использование алгоритмов Диффи-Хеллмана (ECDH, ECDHE DFH). Diffie Hellman и его варианты больше не используют закрытый ключ, он использует случайные сеансовые ключи, которые сохраняет в ОЗУ. (В качестве примечания для расшифровки пакетов Диффи Хеллмана нам нужно добавить глобальную переменную в систему $ SSLKEYLOGFILE и импортировать этот файл в Wireshark. Это работает только с Google Chrome, Firefox, CURL, но не для внутренних приложений)

Думаю, именно поэтому я не могу расшифровать данные. Потому что при согласовании шифра мой клиент и мой сервер (оба на моем локальном компьютере) используют Diffie Hellman в качестве асинхронного шифрования, даже когда я создаю сертификат RSA. Я предполагаю, что они используют Диффи Хеллмана, потому что в рукопожатии TLS я вижу, что они соглашаются использовать 0xc030

Если я прав, мне следует изменить свой вопрос на Как я могу указать шифры для использования в конфигурации Nginx? Прямо сейчас в моем Nginx включен ssl_prefer_server_ciphers; конфигурация.

Я добавлю рукопожатие TLS, чтобы вы могли видеть согласование шифра. Клиент привет

Сервер привет

Повторное согласование шифра