java - SSL 如何保护数据免遭嗅探？

Question

我有一个小网站，它的安全性对我来说很重要。我没有钱购买 SSL 证书，所以我想自己制作一个(理论上是用 java，虽然我仍然不知道我将如何在服务器端解密它)。用户不会像信任 SSL 那样信任它，但它会提供我正在寻找的安全性。

我阅读了几篇有关 SSL 的文章，我认为我掌握了它背后的数学原理，但我不明白它如何防止嗅探。如果 SSL 加密客户端计算机上的密码/信息/任何内容，而不是将其发送到服务器进行解密，那么嗅探器嗅探编码后的密码并将其发送到服务器会有什么问题？

Answer 1

I don't have the money to buy an SSL certificate

你不能不这样做。您浪费的时间已经超过证书的成本。

so I thought of making one myself (theoretically with java

不仅仅是 Java JRE。

The users won't trust it like they trust SSL but it would provide the security I'm looking for.

如果用户不信任它，它就不会。

If SSL encrypts the password/info/whatever on the client's computer and than sends it to the server for decryption, what problem would there be for a sniffer to sniff the encoded password and send it to the server?

它比那要复杂得多。客户端通过 PKI 和服务器的证书验证服务器的身份。客户端和服务器然后使用您提到的数学协商对称 session key 。 key 本身永远不会传输。数据使用此 key 加密，并与显示消息是否完整的消息验证代码一起发送。由于加密，数据是私有(private)的；并且由于 key 协商的方式，SSL 还提供了对重放攻击的无懈可击性。