PolarProxy 是一款透明 TLS 代理，能将解密后的 TLS 流量以 PCAP 格式输出，解决加密流量无法被传统 IDS 与取证工具直接分析的问题，适用于恶意软件 C2、IoT 设备及移动端加密通信的溯源与审计。
核心机制：透明解密与再加密转发
PolarProxy 接收入站 TLS 流，完成解密、再加密后转发至目标端，全程不修改隧道内载荷。这种设计使其成为通用的 TLS 解密代理，覆盖 HTTPS、HTTP/2、DoH、DoT、FTPS、SMTPS、IMAPS、POP3S 与 SIP-TLS 等所有基于 TLS 的协议。解密后的数据包在写入 PCAP 前会被剥离全部 TLS 记录层头部，因此生成的捕获文件仅含明文应用层负载，可直接送入 Suricata、Zeek、NetworkMiner 等不支持原生 TLS 解密的分析工具。
部署信任模型与许可证
每次安装 PolarProxy 都会生成唯一的根 CA 证书，必须被客户端操作系统、浏览器或应用信任，才能完成中间人式解密。软件采用 CC BY-ND 4.0 许可，允许包括商业用途在内的任意目的免费使用。在 Linux 上仅需建立目录、下载解压并以 sudo 运行 `./PolarProxy -v -p 443,80 --certhttp 10080 -w /tmp/polarproxy.pcap`，即可在 TCP 443 端口启动监听并将解密包写入指定 PCAP。
实测示例与适用场景
2019 年 CS3Sthlm 会议现场捕获的 DoH 流量显示，HTTP/2 请求已不再被 TLS 记录封装，直观验证了 PolarProxy 的去 TLS 化效果。典型场景包括：僵尸网络 HTTPS C2 流量溯源、IoT 与嵌入式设备加密固件升级分析、移动端应用隐私合规审计。原文未给出具体吞吐量或并发连接数上限，工程师需在实测环境中评估性能边界。
对运维与网络工程师而言，PolarProxy 提供了一条低门槛的“加密转明文”路径：无需改造应用、无需导入会话密钥，仅靠一张自签根证书与一条启动命令，即可让现有 IDS 与取证链路直接处理曾经不可见的 TLS 业务流，显著缩短事件响应中的流量还原环节。
原文: APNIC Blog（2021-08-03）｜编译自 APNIC Blog，事实以原文为准。
来源：APNIC Blog