ssl - 发送到 https url 的消息是否可以免受中间人攻击？

Question

我一直在阅读 Stripe documentation并且要求生产网站有SSL证书。

我的理解是，由于卡信息是通过 https 发送到 Stripe 的，并且只返回一个收费 token ，因此无法通过中间人攻击获得任何个人/ secret 信息。发送到 stripe 的信用卡信息是加密的(发送到 https url)并且只返回一个收费 token ，攻击者不能用它做任何有用的事情，因为它只能用于向它创建的公司进行一次收费为。

在这种情况下，谁能解释 SSL 证书如何帮助保护用户？当然最好有 SSL 证书，但我想知道为什么需要。

谢谢。

Answer 1

服务器证书对于防止 HTTPS 中的 MITM 攻击至关重要。用于向客户端证明服务器的身份。

如果没有它，您将进行加密，但无法对远程方进行身份验证，因此本质上您将与某人交换数据，但您不确定那是谁:您实际上可能是在与某个人交换 secret 会拦截连接的 MITM 攻击者。

当然，客户端需要验证它是否信任该证书(这就是 CA 的作用)并且它与它正在寻找的服务器的名称相匹配。浏览器通常会这样做(这就是为什么用户不应该忽略警告)。

(您可能对 Security.SE 上的这个问题感兴趣:“What is an SSL certificate intended to prove, and how does it do it? ”)