El objetivo principal de Burp Suite es actuar como un proxy web con el fin de analizar y modificar el tráfico web, generalmente como parte de una prueba de penetración. Si bien esto es bastante sencillo para el tráfico HTTP de texto sin formato, requiere una configuración adicional para poder interceptar el tráfico HTTPS sin errores constantes de certificado.
Consejo; Las pruebas de penetración implican probar la seguridad cibernética de sitios web, dispositivos e infraestructura al intentar piratearlos.
Para interceptar el tráfico HTTPS, Burp crea su propia autoridad de certificación en su dispositivo. Debe importar este certificado al almacén de confianza de su navegador para que su navegador no genere errores de certificado.
Consejo: Usar Burp Suite como proxy es básicamente realizar un ataque MitM, o Man in the Middle, en ti mismo. Tenga en cuenta que Burp reemplazará todos los certificados HTTPS por los suyos. Esto hace que sea mucho más difícil detectar ataques MitM verdaderamente maliciosos, ya que no verá ningún error de certificado; tenga en cuenta esto si está instalando y utilizando Burp Suite.
El primer paso para instalar la CA de Burp es descargarlo. Para hacer esto, inicie Burp, luego navegue hasta el puerto de escucha del proxy, que por defecto es «127.0.0.1:8080». Una vez en la página, haga clic en «Certificado CA» en la esquina superior derecha para descargar el certificado «cacert.der».
Sugerencia: Probablemente se le advertirá que el tipo de archivo no es seguro y podría dañar su computadora, deberá aceptar la advertencia.
Vaya al oyente de proxy y descargue el certificado.
Para instalar el certificado en Windows, haga doble clic en el archivo «cacert.der» descargado para ejecutarlo y acepte la advertencia de seguridad. En la ventana Visor de certificados, haga clic en «Instalar certificado».
Haga doble clic en el archivo del certificado para ejecutarlo, luego haga clic en «Instalar certificado».
Elija si desea que el certificado sea de confianza para su usuario o para otros usos con «Usuario actual» y «Máquina local», respectivamente. Deberá configurar manualmente el certificado para que se coloque en un almacén de certificados específico, «Autoridades de certificación raíz de confianza». Una vez que haya terminado, haga clic en «Finalizar» para importar el certificado.
Sugerencia: para que el cambio surta efecto, deberá reiniciar sus navegadores. Esto debería afectar a todos los navegadores de su computadora, incluso a Firefox, sin embargo, es posible que deba agregar el certificado a navegadores específicos si están usando su propia tienda de confianza.
Instale el certificado en la tienda «Trusted Root Certification Authorities».
Si desea interceptar el tráfico de red de otro dispositivo, ese dispositivo deberá importar su certificado Burp específico, en lugar del que genera él mismo. Cada instalación, excluidas las actualizaciones, genera un nuevo certificado. Este diseño hace que sea mucho más difícil hacer un mal uso de Burp para la vigilancia masiva de Internet.