连接到 SSL 加密网站的安全性如何？

Question

在客户可以使用我的应用程序之前，我正在使用 WebClient 实施安全帐户检查。但我担心的是“使用 HTTPS 协议连接到使用 SSL 证书的网站是否可以防止 MATM 攻击并使整个通信加密？”。

换句话说：像Wireshark 这样的程序是否能够像使用普通 HTTP 请求一样以纯文本形式获取请求和响应？是否有能力改变发送和接收的数据包？为了改变我的应用程序行为或其他东西。

---

[NOTE] I am not talking about getting my application pirated as I know that there is no way to get away from that fate.

Answer 1

HTTPS does prevent Man in the middle attack，只要双方都正确实现了协议，我假设WebClient 正确实现。 这意味着即使安装在本地机器上的 Wireshark 也无法解密流量

如果中间有人在途中更改数据包，对方将无法读取它们，通信就会中断。

鉴于我们在您的 cmets 中的讨论，一些澄清： 如果您的客户没有受到威胁（HTTPS 确实有效），上述情况仍然成立，因为您假设您的客户会破坏自己并使用通过添加虚假可信证书来欺骗您的应用程序的工具（需要管理员权限），我可以建议你使用two way ssl。

像Fiddler 这样的工具将无法通过添加他们的受信任证书来解密它，从而使您的客户更难以这种方式攻击您的应用程序，并让他们使用调试器或修补它，因为它比实现双向 ssl 代理更容易。

您还可以执行this post 中描述的操作，使用需要一个特定证书并忽略系统受信任证书的代码覆盖框架的证书验证，这会受到Fiddler 等工具的破坏（这实现了 Mark 建议的内容）。

Answer 2

HTTPS 对传输的数据进行加密，并通过验证您连接的主机来防止中间人攻击。但是，对于桌面应用程序和Web应用程序，用户可以使用wireshark或http代理在本地主机上查看https传输的内容。

缓解此问题的一种方法是对服务器证书的指纹进行硬编码，以便您的应用程序可以确保它所连接的服务器提供特定的证书。

例如，如果您要在本地机器上安装 Fiddler 并安装 fiddler 根证书。您的应用程序会认为它正在安全地连接到服务器，但 fiddler 会在中间解密流量。如果您的应用程序代码查找特定的证书指纹，则当使用您期望的证书以外的证书进行连接时，您可以抛出异常，从而在使用本地代理时阻止任何数据的传输。

Wireshark 将始终能够看到通过网络传输的数据包，但您不一定能够看到未加密的传输内容。但是我不是使用 Wireshark 的专家，所以也许这里的其他人可以解释一下。

---

更新

好的，澄清更多......这个问题正在讨论从桌面应用程序发送到服务器的内容的加密。

让我们布局一些假设：

• 桌面应用程序的用户控制他们的桌面。
• 桌面上安装的应用程序正在使用公钥进行加密。
• 任何拥有相应私钥的人都可以解密。
• 由于用户控制他们的桌面，他们还可以在他们的桌面上运行 http 代理。

现在 SSL(HTTPS) 的工作方式是您的浏览器开始安全握手，此时服务器将返回公共证书，并且您的浏览器将尝试使用您购买证书的权限来验证该证书，例如 ( godaddy、geotrust 或 versign 等）

假设用户安装了 fiddler 并且它是根证书，您的桌面应用程序将连接到 fiddler，并获得 fiddler 公共根证书，它将针对本地证书存储进行验证并认为它受信任。 Fiddler 然后会联系服务器，服务器会向它发送真正的公共证书。

随后，浏览器使用 fiddler 根公钥对来自浏览器的 http 请求进行加密，fiddler 然后解密内容，然后使用服务器 (mydomain.com) 中的公钥对其进行重新加密并将请求转发到服务器，然后解密并处理它。

这里有更多信息：http://en.wikipedia.org/wiki/HTTP_Secure

SSL 卸载 (https://f5.com/glossary/ssl-offloading) 也是网络基础设施中用于卸载 Web 服务以外的其他设备上的 SSL 负载的功能。这是中间人解密内容的一种形式。此外，企业网络中的 Instrustion Detection 系统可以在其中安装 SSL 证书，从而使这些设备能够解密请求的内容并检查它们是否存在指示网络攻击的行为。