java - 请求通过 https 加密？

Question

在 HTTPS (SSL) 浏览器中发送只能由服务器解密的加密数据。

为了证实这一点，我确实在我的 Firefox 浏览器上设置了 burp 代理，以便它拦截浏览器发送到 HTTPS 服务器的请求。当我在 burp 收到它时，我看到了用户输入的数据，虽然我期待浏览器必须加密但没有。

那么浏览器在什么时候通过 HTTPS 加密数据？

Answer 1

大多数执行此操作的软件(例如防病毒扫描程序)将 https 证书替换为自己的证书，因此 https 流量可以由软件中间人控制。

虽然我不熟悉 Burp，但看起来它的作用是一样的:https://portswigger.net/burp/help/proxy_using.html

所以代替

browser --(via https)--> server

只有服务器可以读取，因为只有服务器拥有解密 http 的私钥，所以它变成:

browser --(via https)--> burp -- (via https)--> server

如果您在浏览器中查看 https 证书，您可能会注意到它是由 Burp 颁发的，而不是网站在不使用 Burp 时显示的真实证书。

这是这样做的唯一真正的方法，无需在加密发生之前对浏览器进行重大更改以拦截它，但会产生自己的问题:软件真的应该拦截您和您的银行之间的流量吗？如果第一个连接可能被破坏怎么办(参见 the Lenovo superfish incident 例如)。许多人(包括我自己)因此不喜欢 MITM https 服务。