security - SSL 和网络安全 : request resubmission

Question

假设我正在向 REST API 发送 HTTPS 请求。该请求触发付款。

中间的某个人是否可以捕获请求，猜测它是一个支付请求并重新提交给 API，以便触发该支付两次？

不管通信是否使用 SSL 加密并且服务器和客户端使用临时身份验证 token 而不是密码，对吧？

我知道这个问题的范围非常广泛和笼统 - 因此欢迎笼统的回答。

谢谢。

Answer 1

您所描述的称为“重放攻击”，TLS/SSL 通常旨在击败它们。

来自TLS RFC :

To prevent message replay or modification attacks, the MAC is computed from the MAC secret, the sequence number, the message length, the message contents, and two fixed character strings.