Après une année de développement, la nouvelle version stable de l'analyseur réseau Wireshark 3.6 a été publiée. Rappelons qu'à l'origine, le projet a été développé sous le nom d'Ethereal, mais en 2006, à cause d'un conflit avec le propriétaire de la marque Ethereal, les développeurs ont dû renommer le projet Wireshark. Le code du projet est distribué sous la licence GPLv2.
Principales nouveautés de Wireshark 3.6.0 :
- Modifications apportées à la syntaxe des règles de filtrage du trafic :
- Ajout du support de la syntaxe « a ~= b » ou « a any_ne b » pour sélectionner toutes les valeurs à l'exception d'une.
- Ajout du support de la syntaxe « a not in b », équivalente à « not a in b ».
- Il est désormais possible de spécifier des chaînes comme dans les chaînes brutes en Python, sans avoir à échapper les caractères spéciaux.
- L'expression « a != b » est désormais toujours équivalente à l'expression « !(a == b) » lorsqu'elle est utilisée avec des valeurs couvrant plusieurs champs (par exemple, « ip.addr != 1.1.1.1 » est désormais équivalente à « ip.src != 1.1.1.1 and ip.dst != 1.1.1.1 »).
- Les éléments des listes set doivent désormais être séparés uniquement par des virgules, la séparation par des espaces étant interdite (c'est-à-dire que la règle ‘http.request.method in {«GET» «HEAD»}’ doit être remplacée par ‘http.request.method in {«GET», «HEAD»}’).
- Un filtre tcp.completeness a été ajouté pour le trafic TCP, permettant de séparer les flux TCP en fonction de l'état d'activité de la connexion, c'est-à-dire qu'il est possible d'identifier les flux TCP pour lesquels des échanges de paquets ont eu lieu pour l'établissement, le transfert de données ou la terminaison de la connexion.
- Ajout d'un paramètre « add_default_value » permettant de spécifier les valeurs par défaut des champs Protobuf non sérialisés ou omis lors de la capture de trafic.
- Ajout du support de la lecture de fichiers de trafic capturé au format ETW (Event Tracing for Windows). Un module d'analyse (dissector) pour les paquets DLT_ETW a également été ajouté.
- Ajout du mode « Follow DCCP stream », permettant de filtrer et d'extraire le contenu des flux DCCP.
- Ajout du support pour l'analyse des paquets RTP contenant des données audio au format OPUS.
- Possibilité d'importer des paquets capturés à partir de dumps texte au format libpcap, avec la définition de règles d'analyse basées sur des expressions régulières.
- Le lecteur de flux RTP a été substantiellement retravaillé (Téléphonie > RTP > Lecteur RTP), il peut être utilisé pour la lecture des appels VoIP. Prise en charge des listes de lecture ajoutée, interface plus réactive, possibilité de couper le son et de changer de canaux, option ajoutée pour sauvegarder les sons reproduits sous forme de fichiers multicanaux .au ou .wav.
- Les dialogues concernant le VoIP (Appels VoIP, Flux RTP, Analyse RTP, Lecteur RTP et Flux SIP) ont été refaits, ils ne sont plus modaux et peuvent maintenant être ouverts en arrière-plan.
- La possibilité de suivre les appels SIP en fonction de la valeur Call-ID a été ajoutée au dialogue « Suivre le Flux ». La granularité de la sortie au format YAML a été améliorée.
- La reconstruction de fragments de paquets IP ayant différents VLAN ID a été mise en œuvre.
- Ajout d'un gestionnaire pour la reconstruction des paquets USB (couche de liaison USB), interceptés à l'aide d'analyseurs matériels.
- Une option « —export-tls-session-keys » pour exporter les clés de session TLS a été ajoutée à TShark.
- Le dialogue d'exportation au format CSV dans l'analyseur de flux RTP a été modifié.
- Le développement de paquets pour les systèmes basés sur macOS équipés de la puce ARM Apple M1 a commencé. Les paquets pour les appareils Apple avec puces Intel ont des exigences de version macOS renforcées (10.13+). Des paquets portables 64 bits pour Windows (PortableApps) ont été ajoutés. Un support initial pour la compilation de Wireshark pour Windows en utilisant GCC et MinGW-w64 a été ajouté.
- Ajout de la prise en charge du décodage et de la capture de données au format BLF (Informatik Binary Log File).
- Ajout de la prise en charge des protocoles :
- Bluetooth Link Manager Protocol (BT LMP),
- Bundle Protocol version 7 (BPv7),
- Bundle Protocol version 7 Security (BPSec),
- CBOR Object Signing and Encryption (COSE),
- E2 Application Protocol (E2AP),
- Event Tracing for Windows (ETW),
- EXtreme extra Eth Header (EXEH),
- High-Performance Connectivity Tracer (HiPerConTracer),
- ISO 10681,
- Kerberos SPAKE,
- Linux psample protocol,
- Local Interconnect Network (LIN),
- Microsoft Task Scheduler Service,
- O-RAN E2AP,
- O-RAN fronthaul UC-plane (O-RAN),
- Opus Interactive Audio Codec (OPUS),
- PDU Transport Protocol, R09.x (R09),
- RDP Dynamic Channel Protocol (DRDYNVC),
- RDP Graphic pipeline channel Protocol (EGFX),
- RDP Multi-transport (RDPMT),
- Real-Time Publish-Subscribe Virtual Transport (RTPS-VT),
- Real-Time Publish-Subscribe Wire Protocol (processed) (RTPS-PROC),
- Shared Memory Communications (SMC),
- Signal PDU, SparkplugB,
- State Synchronization Protocol (SSyncP),
- Tagged Image File Format (TIFF),
- TP-Link Smart Home Protocol,
- UAVCAN DSDL,
- UAVCAN/CAN,
- UDP Remote Desktop Protocol (RDPUDP),
- Van Jacobson PPP compression (VJC),
- World of Warcraft World (WOWW),
- X2 xIRI payload (xIRI).
Source : opennet.ru
