c# - 如果 fiddler 2 可以通过 HTTPS 解密所有调用，那么 SSL 有什么意义？

Question

我刚才在这里问了一个问题，关于如何隐藏我的 http 请求调用并使它们在我的应用程序中更安全。我不希望人们使用 fiddler 2 来查看调用并设置自动回复。每个人都告诉我使用 SSL，通话将被隐藏，信息也将得到保护。

我购买并安装了 SSL 证书并设置了所有内容。我启动了 fiddler 2 并运行了一个连接到 https 网络服务以及 https php 脚本的测试应用程序。

Fiddler 2 不仅能够检测到这两个请求，还能解密它们!我能够看到所有信息往前和往后，这让我想到了我的问题。

如果 SSL 对安全性的影响为零，那么拥有 SSL 有什么意义呢？无论有没有 SSL，我都可以看到所有信息，并且仍然可以设置一个自动回复器。

我缺少 .NET 中的某些东西来更好地隐藏通过 SSL 进行的调用吗？

编辑

由于我收到了一些回复，我正在为这个问题添加一个新的部分。如果一个应用程序连接到一个网络服务来登录会怎样。该应用程序向网络服务发送用户名和密码。 Web 服务然后将数据发送回应用程序，说明登录数据是好是坏。即使通过 SSL，使用 fiddler 2 的人也可以设置一个自动响应程序，然后应用程序就会“破解”。我知道在调试中查看数据有何用处，但我的问题是究竟应该怎么做才能确保 SSL 连接到它所请求的数据。基本上说不能有中间人。

Answer 1

此处介绍:http://www.fiddlerbook.com/fiddler/help/httpsdecryption.asp

Fiddler2 relies on a "man-in-the-middle" approach to HTTPS interception. To your web browser, Fiddler2 claims to be the secure web server, and to the web server, Fiddler2 mimics the web browser. In order to pretend to be the web server, Fiddler2 dynamically generates a HTTPS certificate.

本质上，您手动信任 Fiddler 提供的任何证书，如果您手动接受来自不匹配域名的随机人的证书，情况也是如此。

编辑:有一些方法可以防止 Fiddler/man-in-the-middle 攻击——即在自定义应用程序中，使用 SSL，可以要求使用特定证书进行通信。对于浏览器，它们有 UI 来通知用户证书不匹配，但最终允许此类通信。

作为显式证书的公开示例，您可以尝试使用 Azure 服务(即使用适用于 Azure 的 PowerShell 工具)并使用 Fiddler 嗅探流量。由于明确的证书要求，它失败了。