请教一个https安全问题? 第1页
1
hawaii-61 网友的相关建议:
“客户端通过服务端的公钥对私钥加密”这句话就错了，私钥全程不参与传输，自然也不会被加密。客户端加密并发送的是用来握手的随机数。
服务器如何确认客户端是真实的客户端？答案是：双向认证。不仅客户端要验证服务器的证书，服务器同样要验证客户端的证书，彻底杜绝中间人攻击的可能。需要双向认证的场景在B/S架构中很罕见，多见于C/S架构，因为服务器需要预置客户端的证书。有不少APP都使用了这一技术防止被抓包。
而在传统的SSL单向认证中，黑客可能在其中充当中间人的角色，他可以欺骗服务器自己是客户端，但无法欺骗客户端自己是服务器，因为他没有服务器的私钥，不能解密客户端用公钥加密的随机数，也就无法和客户端完成握手。黑客可以伪造一份自签名证书给客户端，但由于黑客不是可信CA，客户端的浏览器将提示证书无效。
1
相关话题
摄像头的入侵是否可以绕过指示灯（如果有）？交通信号灯可以被黑 (hack) 吗？
红芯浏览器真的自带了假的证书用以监控 HTTPS 内容吗？
如何看待国内一些互联网企业因为有墙而强大？
http, keepalive用来复用连接，这样不就是串行的了么，浏览器会并行的多个请求发出，keepalive怎么体现作用？
课堂上传纸条如何防范中间人攻击？
中小型网站被 DDOS 了怎么办？
零基础如何学习 Web 安全？
安全问题，一个标准的绑定修改邮件怎么写？
经常在视频中提到台湾的1450，请问1450是个什么东西？
相关的话题
什么是哈希洪水攻击（Hash-Flooding Attack）？如何看待湖南一镇党委书记系「爱马仕」皮带，官方回应称「系 140 元仿制品」？
网络安全培训哪家机构知名度高？
课堂上传纸条如何防范中间人攻击？
如何制作高质量的（破译用）字典？
国家互联网应急中心称部分 APT 组织网络攻击工具长期潜伏我国，意味着什么？
为什么电子邮件允许冒充发件人？
前后端分离项目，接口返回 200 但是里面返回 500 合理吗？
https加密通信能这样破解吗？
为什么公安、新闻光强调网络诈骗要预防，真正解决的却寥寥无几？
浏览器根据charset判断编码方式的疑问？
有没有针对word和wps的电脑病毒？
Windows 系统关于用户和权限的逻辑是怎样的？
如何看待b站up主tom表哥硬刚诈骗团伙的行为?
如何看待网络安全审查办公室对「滴滴出行」启动网络安全审查？
如何看待“Sunburst”(炽日行动)“迄今为止对美国造成的最严重的网络攻击”？
有哪些速度快又好用的网盘值得推荐?
电子科技大学周涛研究团队是否侵犯学生隐私？
外界对于黑客都存在哪些误解？
如何评价「最大的安全公司之一 Norse Corp 濒临倒闭」？
WinPE 能破解 Windows 的密码，这样 Windows 就不安全吗？
百度云“您下载的内容包含违规信息”，有什么方法可以下载？
用工具的人能称得上的黑客吗？
先用md5，再用sha1，这样密码会安全一点吗？
登录知乎时，账号密码是明文传送的，安全吗？
媒体实测发现「微信或取消外链卡片式转发分享」，可能会带来哪些影响？
https证书服务商和网站服务器所在国家相同时，https应对国家级别的监听/篡改是否无效?
https证书服务商和网站服务器所在国家相同时，https应对国家级别的监听/篡改是否无效?
如何保证用户登录时提交密码已经加密？
先用md5，再用sha1，这样密码会安全一点吗？