ssl - SSL的特性如何对抗IP劫持？

Question

如果两台主机之间经过身份验证的事件连接中断，并且攻击者取代了其中一台主机，SSL 功能如何帮助抵制或阻止？

Answer 1

两台原始主机已就临时 key 达成一致，因此试图劫持连接的主机需要知道 key 才能代表其中一台主机。否则它无法发送任何被另一方视为有效的消息。

这称为主机密(参见 https://www.rfc-editor.org/rfc/rfc6101#section-6.1)。

因此，除非劫持者能够破解加密，否则他无法简单地劫持连接。

如果您提到的中断意味着建立新连接，则证书验证的通常规则会阻止攻击者替换一侧(但前提是使用并验证了客户端证书，否则可以替换客户端)。有证书固定等方法可以防止使用不同的有效证书，但必须实现这些方法。