Dieci anni di Ethereal
Wireshark nasce nel 1998 come Ethereal, sviluppato da Gerald Combs al Missouri Research and Education Network. Dal giugno 2006 il progetto cambia nome in Wireshark — Combs lasciando il precedente impiego e mantenendo il trademark, ma non il naming Ethereal detenuto dal datore di lavoro precedente. Il 31 marzo 2008 viene rilasciata la versione 1.0, traguardo simbolico a dieci anni dalla nascita.
Licenza GPL v2. Infrastruttura: Wireshark Foundation (dal 2023) supportata da Sysdig e community.
Cosa fa Wireshark
Protocol analyzer — cattura pacchetti di rete (libpcap su Linux/macOS, WinPcap/Npcap su Windows) e li dissezza secondo le specifiche dei protocolli, presentando al utente una vista gerarchica: Ethernet → IP → TCP/UDP → application protocol.
Supporta al 2008 già circa 1000 protocolli, cresceranno a oltre 3000 nelle release successive. La lista include tutto quello che si vede realisticamente in rete: IP/IPv6, TCP/UDP, DNS, DHCP, HTTP/HTTPS (+TLS decrypt con chiavi), SMB/CIFS, SMTP/POP/IMAP, FTP, Telnet, SSH, SSL/TLS, protocolli VoIP (SIP, RTP), protocolli industriali (Modbus, DNP3, S7), wireless (802.11, Bluetooth).
Componenti
- wireshark — GUI in GTK+ (successivamente Qt dal 2013)
- tshark — equivalente CLI per uso in script e automazione
- dumpcap — capture daemon privilegiato (permette UI senza privilegi root)
- editcap, mergecap, rawshark — tool accessori
- capinfos — statistiche su file PCAP
- text2pcap, pcap2xml — conversioni
Uso pratico
Gli scenari tipici:
- Network troubleshooting — sysadmin debuggano problemi di connettività, latenza, packet loss
- Security analysis — SOC analisti analizzano traffico sospetto, malware C2 communications
- Incident response — DFIR team esaminano dump di rete
- Protocol development — sviluppatori verificano conformità di implementazioni custom
- Didattica — università usano Wireshark nei corsi di reti
Evoluzione
Nelle release successive al 2008:
- 1.8 (2012) — portabilità migliorata, new features per VoIP
- 2.0 (2015) — riscrittura GUI in Qt sostituendo GTK+
- 3.0 (2019) — Npcap (no più WinPcap), supporto HTTP/2
- 4.0 (2022) — miglioramenti conformance
Etica e uso legittimo
Wireshark è strumento di dual-use: cattura passiva può rivelare credenziali se il traffico non è cifrato. L’uso legittimo richiede:
- Autorizzazione formale sulla rete analizzata
- Compliance con GDPR se cattura dati personali
- Anonymization dei PCAP prima di condivisione
Il fatto che Wireshark renda osservabile il traffico di rete è una ragione storica per l’adozione di HTTPS universale — il problema di credenziali POP3/IMAP/SMTP in chiaro, visibili a tutti sulla stessa rete, è un caso d’uso tipico di dimostrazione Wireshark.
Nel contesto italiano
Wireshark è strumento di lavoro quotidiano in Italia:
- ISP — troubleshooting routing, peering
- Aziende — network ops, sicurezza
- Università — didattica reti e sicurezza
- CERT e forze dell’ordine — analisi forense
Riferimenti: Wireshark 1.0 (31 marzo 2008). Gerald Combs. Ethereal (1998). Rinomina 2006. Licenza GPL v2. Libpcap/Npcap. Wireshark Foundation (2023, supporto Sysdig).