如何让Boost Beast WebSocket服务器支持SSLKEYLOGFILE解密TLSv1.3流量？

你遇到的核心问题是Boost Asio默认不支持SSLKEYLOGFILE环境变量，但可以通过OpenSSL的原生API手动实现密钥日志功能，从而让Wireshark解密TLSv1.3流量，具体步骤如下：

1. 定义密钥日志回调函数 #

Boost Asio的SSL模块基于OpenSSL，我们可以利用OpenSSL提供的SSL_CTX_set_keylog_callback回调，将密钥信息写入符合Wireshark格式的日志文件：

#include <fstream>
#include <mutex>
#include <cstdlib>

// 全局变量保证线程安全的文件写入
std::mutex keylog_mutex;
std::ofstream keylog_file;

// 密钥日志回调函数，OpenSSL会自动传入格式化好的密钥行
void ssl_keylog_callback(const SSL* ssl, const char* line) {
    std::lock_guard<std::mutex> lock(keylog_mutex);
    if (keylog_file.is_open()) {
        keylog_file << line << '\n';
    }
}

2. 初始化密钥日志并绑定到SSL上下文 #

在创建Boost Asio的SSL上下文后，读取SSLKEYLOGFILE环境变量指定的路径，打开日志文件并设置回调：

// 假设你已经创建了SSL上下文对象ssl_context
boost::asio::ssl::context ssl_context(boost::asio::ssl::context::tls_server);

// 从环境变量获取密钥日志路径
const char* keylog_path = std::getenv("SSLKEYLOGFILE");
if (keylog_path) {
    keylog_file.open(keylog_path, std::ios::app);
    if (keylog_file.is_open()) {
        // 获取OpenSSL原生SSL_CTX指针并设置回调
        SSL_CTX_set_keylog_callback(ssl_context.native_handle(), ssl_keylog_callback);
    }
}

3. 配置Wireshark解密流量 #

1. 启动服务器前，设置环境变量SSLKEYLOGFILE为日志文件路径（比如export SSLKEYLOGFILE=/tmp/ssl_keylog.log）
2. 用tcpdump捕获WebSocket流量并保存为pcap文件
3. 打开Wireshark，依次进入编辑 -> 首选项 -> 协议 -> TLS
4. 在(Pre)-Master-Secret log filename中选择生成的密钥日志文件
5. 重新加载捕获的pcap文件，即可查看解密后的WebSocket内容

注意事项 #

• 确保使用的OpenSSL版本为1.1.1及以上，SSL_CTX_set_keylog_callback是该版本新增的API
• 密钥日志文件需要保证写入权限，避免因权限问题无法生成日志
• 回调函数中的line参数已经是Wireshark所需的CLIENT_RANDOM <随机值> <密钥>格式，无需额外处理

内容的提问来源于stack exchange，提问作者Paul Grinberg