networking - 有没有办法在不加密的情况下避免 MITM 攻击？

Question

玩家通过身份验证后，他会收到一个随机的、唯一的识别 token 。他发送的每个数据包都包含 token 。典型的消息是:

token sequence_number commands

问题是，如果有人看到一个数据包，该人就可以充当玩家，并将玩家的所有硬币交给其他人。或者阅读玩家的消息，或者做任何除了窃取个人信息之外的事情。

所以我认为加密是一个要求。但我发现很多人反对它，有人甚至说“这完全是偏执狂”( https://gamedev.stackexchange.com/a/25551/33993 )。

有没有办法在不加密的情况下避免 MITM 攻击？如果不是，是否没有必要避免它们？

Answer 1

链接的问题说:“仅当它是游戏内购买/微交易时 - 那么为什么不使用像 HTTPS 这样经过验证且真实的东西。”

Https 被认为足以进行 MITM 保护。

我的意思是:是的!您应该在 Https 上发送流量!

这会对性能产生影响，但是(显然)我们已经付出了很多很多的努力来优化它。很多成本发生在建立 Https 连接时。对于正在进行的游戏连接，您应该能够保持其打开状态，这样性能影响就会减少。

正如评论者所提到的，Https 使用 TLS用于加密。您也可以使用 TLS 构建自己的 TCP 甚至 UDP 协议(protocol)，但现在我建议如果可能的话，使用无聊的旧 TCP/Https。所有平台都有 API，有多种方法可以使其实时，而且它在家庭路由器和防火墙上运行可能是最简单的，当您向其他人解释它时，您将不会感到惊讶。

参见pusher和 socket.io和 long polling有关使用 http/https 进行实时处理的示例。