Intercettare il traffico dati del PC usando Wireshark

I filtri e i comandi di Wireshark per registrare tutte le connessioni in entrata e uscita dal computer e scoprire cosa trasmettono i programmi

Il computer era lentissimo, ma il Task Manager non diceva nulla di utile. Vedevo solo che la scheda di rete era occupata, senza sapere quale programma stesse parlando con chi. È un po' come sentire il rumore di un tubo che perde in casa: sai che l'acqua esce, ma finché non rompi il muro non capisci dove sia il buco. Per risolvere questo problema bisogna smettere di guardare le icone di Windows e iniziare a leggere i bit che viaggiano nel cavo o nell'aria.

Questo tipo di analisi serve a chiunque voglia capire se un software sta inviando dati a server sospetti, a chi deve configurare un dispositivo domotico che non si connette o a chi studia come funzionano i protocolli di rete. Per approfondire come muoversi in questi ambienti, potete leggere anche come entrare in una rete wifi protetta per catturare pacchetti.

LEGGI ANCHE: tool per sniffare la rete di pc e vedere siti visitati, ricerche su internet e password

Montare l'antenna per l'ascolto

Per leggere i dati serve uno sniffer, ovvero un programma che intercetta i pacchetti. Lo standard mondiale si scarica dal sito di Wireshark. Durante l'installazione, il punto dove molti si bloccano è la richiesta di installare Npcap.

Senza Npcap, il programma è come una radio senza antenna: si accende, ma non prende nessun segnale. È il driver che permette al software di bypassare le protezioni del sistema operativo e leggere i dati grezzi. Se intendete analizzare reti Wi-Fi, assicuratevi di spuntare l'opzione per il supporto alla modalità "raw 802.11", anche se su Windows le limitazioni dell'hardware rendono questa funzione instabile. Su Linux o macOS, ricordate che per avviare la cattura servono i privilegi di amministratore (root/sudo), altrimenti l'interfaccia di rete rimarrà invisibile.

Gestire il caos e capire i colori

Appena si avvia la cattura, lo schermo viene inondato da righe colorate che scorrono a una velocità folle. È un effetto travolgente, simile a cercare di leggere un libro mentre qualcuno vi sfoglia le pagine a cento all'ora. Questo accade perché il PC è costantemente impegnato a scambiarsi messaggi invisibili con il router, i server di aggiornamento o le telemetrie di sistema.

Per non impazzire, basta guardare i colori delle righe, che ci dicono a colpo d'occhio che linguaggio si sta usando:

• Verde: è il traffico TCP, quello usato dalla maggior parte dei siti e dei servizi web.
• Blu scuro: sono le richieste DNS, fondamentali per vedere quali domini il PC sta cercando di contattare.
• Azzurro o Viola: è il traffico UDP, usato per lo streaming, i giochi online o il protocollo QUIC di Google.
• Nero o Rosso: indicano errori, pacchetti persi o ritrasmissioni. Se ne vedete troppi, avete un problema di linea.

Filtrare il traffico per trovare le risposte

Per non naufragare in questo mare di dati, bisogna usare i filtri. Invece di guardare tutto, diciamo al programma di mostrarci solo ciò che ci interessa. Se vogliamo isolare solo le comunicazioni di un dispositivo specifico, basta scrivere ip.addr == 192.168.1.10 nella barra in alto. Se invece vogliamo vedere solo i nomi dei siti che il PC sta cercando di contattare, scriviamo dns.

Se beccate una comunicazione non cifrata, potete ricostruire l'intera conversazione. Cliccando col tasto destro su un pacchetto e scegliendo Follow TCP Stream, Wireshark mette insieme tutti i pezzi e vi mostra il testo in chiaro, come se fosse una chat.

Se durante l'analisi notate che il PC ha scaricato un'immagine o un file sospetto, non serve ricostruire i byte a mano. Seguendo la rotta di Navigaweb, basta andare nel menu File, scegliere Export Objects e poi HTTP. Appare una lista di tutti i file transitati nella rete che potete salvare sul disco per analizzarli con un antivirus.

Il muro di HTTPS e il nuovo standard QUIC

Oggi quasi tutto il traffico è blindato. Se aprite un pacchetto di un sito moderno, vedrete solo simboli senza senso a causa della cifratura TLS. Inoltre, molti servizi di Google e Facebook ora usano il protocollo QUIC, che non usa più il TCP ma l'UDP, rendendo l'analisi ancora più frammentata.

Per leggere comunque i propri dati, esiste un metodo che costringe il browser a consegnare le chiavi. Bisogna creare una variabile di sistema nel PC chiamata SSLKEYLOGFILE e indicare un percorso per un file di testo. Chrome o Firefox scriveranno in quel file le chiavi segrete di ogni sessione. Inserendo quel file nelle impostazioni di Wireshark, il programma userà quelle chiavi per decifrare il traffico in tempo reale, trasformando il codice illeggibile in testo chiaro.

Analisi rapida e statistiche di banda

Quando la rete è lenta, guardare i singoli pacchetti è dispersivo. Il menu Statistics è lo strumento migliore per avere una visione d'insieme. La voce Conversations genera una tabella ordinabile per quantità di byte: se la connessione è satura, qui apparirà immediatamente l'indirizzo IP responsabile del maggior consumo di banda.

Un'altra funzione utile è I/O Graphs, che disegna l'andamento del traffico nel tempo. Permette di capire se un picco di lag è avvenuto in un istante preciso o se è un problema costante della linea.

Dubbi comuni e limiti tecnici

• Posso spiare i vicini? No. Il traffico Wi-Fi moderno (WPA2/WPA3) è cifrato. Anche catturando i pacchetti, non vedrete password in chiaro, ma solo dati che richiederebbero anni di tentativi per essere decifrati.
• Perché vedo solo il mio traffico? Le reti moderne usano gli switch, che isolano i dati. Per vedere il traffico di un altro PC, servirebbe una porta mirror o un vecchio hub, che ormai sono pezzi da museo.
• È legale? Sì, è uno strumento di lavoro per chi gestisce reti. L'uso è lecito sulla propria rete. Intercettare dati altrui senza consenso è un reato.
• Analisi rapida con TShark. Quando i file di cattura diventano giganti, l'interfaccia grafica rallenta. In quel caso è meglio usare TShark, la versione da terminale che filtra i dati molto più velocemente.

Diario di bordo di Navigaweb

Usare Wireshark è come avere i superpoteri, ma può diventare frustrante se ci si aspetta di leggere ogni singola email o password. La cifratura ormai vince quasi sempre. Il mio consiglio è di non usarlo per spiare in generale, ma per risolvere problemi mirati. Ad esempio, se un programma vi dà fastidio ma non sapete dove si collega, isolate il suo indirizzo IP e guardate i DNS. È l'unico modo per avere la certezza matematica di cosa sta uscendo dal vostro PC, senza fidarsi delle descrizioni scritte dai produttori del software.