Fokus utama Burp Suite adalah bertindak sebagai proxy web untuk tujuan menganalisis dan memodifikasi lalu lintas web, umumnya sebagai bagian dari uji penetrasi. Meskipun ini cukup mudah untuk lalu lintas HTTP teks biasa, ini memerlukan pengaturan tambahan untuk dapat mencegat lalu lintas HTTPS tanpa kesalahan sertifikat yang konstan.
Tip; Pengujian penetrasi adalah proses pengujian keamanan siber situs web, perangkat, dan infrastruktur dengan mencoba meretasnya.
Untuk mencegat lalu lintas HTTPS, Burp membuat otoritas sertifikatnya sendiri di perangkat Anda. Anda perlu mengimpor sertifikat itu ke toko kepercayaan browser Anda sehingga browser Anda tidak menghasilkan kesalahan sertifikat.
Tip: Menggunakan Burp Suite sebagai proxy pada dasarnya Anda melakukan MitM, atau Man in the Middle, menyerang diri Anda sendiri. Anda harus menyadari bahwa Burp akan mengganti semua sertifikat HTTPS dengan miliknya sendiri. Ini membuatnya jauh lebih sulit untuk melihat serangan MitM yang benar-benar berbahaya karena Anda tidak akan melihat kesalahan sertifikat apa pun – perhatikan hal ini jika Anda menginstal dan menggunakan Burp Suite!
Langkah pertama untuk menginstal otoritas sertifikat Burp adalah mengunduhnya. Untuk melakukannya, luncurkan Burp, lalu telusuri ke port pendengar proxy, yang defaultnya adalah “127.0.0.1:8080”. Setelah di halaman, klik "CA Certificate" di sudut kanan atas untuk mengunduh sertifikat "cacert.der".
Tip: Anda mungkin akan diperingatkan bahwa jenis file tidak aman dan dapat membahayakan komputer Anda, Anda harus menerima peringatan tersebut.
Untuk menginstal sertifikat di Windows, klik dua kali pada file “cacert.der” yang diunduh untuk menjalankannya dan menerima peringatan keamanan. Di jendela penampil sertifikat, klik "Instal Sertifikat".
Pilih apakah Anda ingin sertifikat dipercaya oleh pengguna Anda atau oleh penggunaan lain dengan "Pengguna Saat Ini" dan "Mesin Lokal". Anda perlu mengatur sertifikat secara manual untuk ditempatkan di toko sertifikat tertentu, “Otoritas Sertifikasi Root Tepercaya”. Setelah selesai, klik "Selesai" untuk mengimpor sertifikat.
Tip: Agar perubahan diterapkan, Anda harus memulai ulang browser Anda. Ini akan mempengaruhi semua browser di komputer Anda, bahkan Firefox, namun, Anda mungkin perlu menambahkan sertifikat ke browser tertentu jika mereka menggunakan toko kepercayaan mereka sendiri.
Jika Anda ingin mencegat lalu lintas jaringan dari perangkat lain, itu harus mengimpor sertifikat Burp spesifik Anda, bukan sertifikat yang dihasilkannya sendiri. Setiap penginstalan, kecuali pembaruan, menghasilkan sertifikat baru. Desain ini membuat Burp lebih sulit disalahgunakan untuk pemantauan internet massal.