java - 在 Java 中禁用证书验证的危险

Question

这个问题可能看起来像一个新手，也许是“愚蠢”的问题，但请耐心等待...

我仍在努力寻找一种方法让我的 Java 应用程序使用位于 JAR 文件中的 keystore ，我很想使用 the method here. 一起禁用证书验证。然而，在我这样做之前，我只是想确认为什么你不应该这样做以及这些原因是否适用于我。

我听说没有证书验证会使您的应用程序容易受到“中间人”攻击(我认为)，但即使我是正确的，我也不确定这些到底是什么，所以请有人解释一下.虽然，如果它们是我认为的那样，我不确定我的应用程序是否受制于它们，因为我的应用程序仅使用 SSL 连接从我的网站获取数据，因此用户不会告诉应用程序哪些 URL参观 - 如果这有意义......

Answer 1

这是一个攻击场景。其他人可能想贡献更多。

您的应用程序访问一个 URL。在沿途的某个时刻(任何中间网络跃点)，攻击者可以将自己定位为“中间人”，也就是说，他会假装是您通信的“代理”，能够阅读通过的所有内容，甚至在途中对其进行修改:攻击者可以代表用户行事，就他获得的信息误导他，并基本上访问所有正在传输的数据。

输入 SSL:您的客户端从服务器收到带有有效 key 的证书(由已知的证书颁发机构签名，或存在于您的 keystore 中)。然后服务器将使用该 key 对它发送的所有内容进行签名和加密。如果攻击者将自己置于中间位置，他将无法读取数据(已加密)或修改数据(已签名，修改会破坏签名)。他仍然可以完全阻止通信，但那是另一回事了。

就是这样...如果您忽略您的 keystore ，您将无法验证任何服务器端证书，并且您打开了man-in-the-middle 的大门|攻击。