http - 如何保护公网IP设备的web登录

Question

我们的设备具有公共(public) IP 地址，但我们无法通过 SSH 访问它。为了保护他们的登录屏幕，我们需要使用 HTTPS，但是当我们这样做时，它总是提示由于错误的 SSL 证书导致连接不安全。我知道我们无法在 IP 上颁发 SSL 证书，但另一个问题是我们也无法访问设备以安装新的 SSL 证书。那么在这种情况下的安全建议是什么。在 SSL 不匹配的情况下，流量是否仍然安全和加密。

我知道我们可以限制访问这个IP的网络，但是有没有其他的安全措施？

Answer 1

这里的主要问题是主动攻击者。当您通过 HTTPS 连接时，服务器将发送其证书，声称是您尝试连接的 Web 服务器(我们称之为“SecureServer”)，证书颁发机构 (CA) 将负责让您知道“SecureServer”是否真的如其所声称的那样。当使用自签名证书或类似的东西时，会有一个警告让你知道它不是一个安全连接，因为没有办法验证“SecureServer”是否真的是它声称的那样，毕竟你您不是 CA，因此，您甚至可以为“google.com”创建证书，但由于您不是权威机构，因此没有人会信任您。

现在，这里的问题是，如果有人想连接到您的设备，他们会看到该警告，他们会说“哦，是的，这种情况一直在发生。跳过它继续工作”，但是主动攻击者可以拦截该通信，添加他自己的证书，而不是服务器证书，瞧，现在他可以访问您的加密通信，因为现在通信是在您和攻击者之间进行的，如果您正在等待一个来自服务器的响应，他也可以和服务器建立通信，所以他会把你所有的请求转发给服务器，同时读取你所有的请求和服务器的响应。所有这一切都是可能的，因为一旦主动攻击者拦截了通信，您就会看到该警告，但是您的所有用户都习惯于忽略该警告，并且他们无论如何都会接受通信，而当使用由一个 CA，如果他们看到那个警告，他们就会知道有问题。

老实说，对我来说，您在这里能做的最好的事情就是使用 CA 颁发的证书。此外，根据 this answer ，您可以在 IP 地址上颁发 SSL 证书(我以前从未尝试过，但可能值得一试)。您还提到您无权访问硬件来安装该证书，但我猜您可以向有权访问该证书的人提出要求，只需说明情况，如果他/她是一个合理的人，他/她会理解问题并安装新证书。因为老实说，只是限制 IP 范围或类似的东西，只是应该正确实现的东西的变通方法。