Dopo un anno di sviluppo, è stato rilasciato il nuovo ramo stabile del protocollo di analisi di rete Wireshark 3.6. Ricordiamo che inizialmente il progetto era sviluppato con il nome Ethereal, ma nel 2006, a causa di un conflitto con il proprietario del marchio Ethereal, gli sviluppatori furono costretti a rinominare il progetto in Wireshark. Il codice del progetto è distribuito sotto la licenza GPLv2.
Novità principali di Wireshark 3.6.0:
- Sono state apportate modifiche alla sintassi delle regole di filtraggio del traffico:
- Aggiunto il supporto per la sintassi «a ~= b» o «a any_ne b» per selezionare tutti i valori tranne uno.
- Aggiunto il supporto per la sintassi «a not in b», equivalente a «not a in b».
- Consentita la specifica di stringhe simile alle raw-string in Python, senza necessità di escape dei caratteri speciali.
- L'espressione «a != b» è sempre equivalente all'espressione «!(a == b)» quando usata con valori che coprono più campi («ip.addr != 1.1.1.1» è ora equivalente a «ip.src != 1.1.1.1 and ip.dst != 1.1.1.1»).
- Gli elementi delle set-liste ora devono essere separati solo da virgole; la separazione tramite spazi è vietata (cioè, la regola ‘http.request.method in {«GET» «HEAD»}’ deve essere sostituita con ‘http.request.method in {«GET», «HEAD»}’).
- Per il traffico TCP è stato aggiunto il filtro tcp.completeness, che consente di separare i flussi TCP in base allo stato di attivazione della connessione, ovvero è possibile identificare i flussi TCP per i quali è avvenuto uno scambio di pacchetti per l'instaurazione, la trasmissione dati o la chiusura della connessione.
- È stata aggiunta l'impostazione «add_default_value», attraverso la quale è possibile specificare i valori predefiniti dei campi Protobuf, non serializzati o omessi durante la cattura del traffico.
- È stato aggiunto il supporto alla lettura dei file con traffico intercettato nel formato ETW (Event Tracing for Windows). È stato inoltre aggiunto un modulo di analisi (dissector) per i pacchetti DLT_ETW.
- È stata aggiunta la modalità «Follow DCCP stream», che consente di filtrare ed estrarre il contenuto dai flussi DCCP.
- È stato aggiunto il supporto per l'analisi dei pacchetti RTP contenenti dati audio nel formato OPUS.
- È stata fornita la possibilità di importare pacchetti intercettati da dump di testo nel formato libpcap, specificando le regole di analisi basate su espressioni regolari.
- Il lettore RTP è stato significativamente riprogettato (Telephony > RTP > RTP Player), e può essere utilizzato per riprodurre chiamate VoIP. È stata aggiunta la compatibilità con le playlist, migliorata la reattività dell'interfaccia, fornita la possibilità di disattivare l'audio e cambiare canale, e aggiunta l'opzione per salvare i suoni riprodotti in file multi-canale .au o .wav.
- Le finestre di dialogo relative al VoIP (VoIP Calls, RTP Streams, RTP Analysis, RTP Player e SIP Flows) sono state riprogettate e non sono più modali, permettendo di essere aperte in background.
- Nella finestra di dialogo «Follow Stream» è stata aggiunta la possibilità di tracciare le chiamate SIP in base al valore Call-ID. È aumentata la dettagliatezza dell'output in formato YAML.
- Implementata la possibilità di ricostruire frammenti di pacchetti IP con diversi VLAN ID.
- Aggiunto un gestore per la ricostruzione dei pacchetti USB (USB Link Layer), intercettati utilizzando analizzatori hardware.
- In TShark è stata aggiunta l'opzione «—export-tls-session-keys» per esportare le chiavi di sessione TLS.
- Nel analizzatore di flussi RTP, è stata modificata la finestra di dialogo per l'esportazione in formato CSV.
- È iniziata la creazione di pacchetti per sistemi basati su macOS dotati di chip ARM Apple M1. Nei pacchetti per dispositivi Apple con chip Intel sono aumentati i requisiti per la versione di macOS (10.13+). Sono stati aggiunti pacchetti portatili a 64 bit per Windows (PortableApps). È stata introdotta la prima supporto per la compilazione di Wireshark per Windows, utilizzando GCC e MinGW-w64.
- È stato aggiunto il supporto per la decodifica e la cattura dei dati nel formato BLF (Informatik Binary Log File).
- È stato aggiunto il supporto per i protocolli:
- Bluetooth Link Manager Protocol (BT LMP),
- Bundle Protocol versione 7 (BPv7),
- Bundle Protocol versione 7 Sicurezza (BPSec),
- CBOR Object Signing and Encryption (COSE),
- E2 Application Protocol (E2AP),
- Event Tracing for Windows (ETW),
- EXtreme extra Eth Header (EXEH),
- High-Performance Connectivity Tracer (HiPerConTracer),
- ISO 10681,
- Kerberos SPAKE,
- Linux psample protocol,
- Local Interconnect Network (LIN),
- Microsoft Task Scheduler Service,
- O-RAN E2AP,
- O-RAN fronthaul UC-plane (O-RAN),
- Opus Interactive Audio Codec (OPUS),
- PDU Transport Protocol, R09.x (R09),
- RDP Dynamic Channel Protocol (DRDYNVC),
- RDP Graphic pipeline channel Protocol (EGFX),
- RDP Multi-transport (RDPMT),
- Real-Time Publish-Subscribe Virtual Transport (RTPS-VT),
- Real-Time Publish-Subscribe Wire Protocol (processed) (RTPS-PROC),
- Shared Memory Communications (SMC),
- Signal PDU, SparkplugB,
- State Synchronization Protocol (SSyncP),
- Tagged Image File Format (TIFF),
- TP-Link Smart Home Protocol,
- UAVCAN DSDL,
- UAVCAN/CAN,
- UDP Remote Desktop Protocol (RDPUDP),
- Van Jacobson PPP compression (VJC),
- World of Warcraft World (WOWW),
- X2 xIRI payload (xIRI).
Fonte: opennet.ru
