security - HTTPS 是保护客户端/服务器通信 "secure enough"的一种方式吗？

Question

我正在开发的应用程序执行某种服务器端授权。通信是通过安全通道完成的(在我的例子中是 HTTPS，具有有效的 SSL 证书)。我计划实现一些东西来验证远程服务器是否正是他所声称的那样。

我知道没有任何客户端保护是牢不可破的，尤其是在有足够的时间和知识的情况下。但是，如果我实现上面描述的内容，这种安全方法是否“足够安全”，可以保护数据在传输过程中不被篡改，或防止中间人攻击，并确保其有效性？

我正在考虑在传输的数据周围添加另一层安全性(通过使用私钥/公钥对)，但我怀疑依赖 SSL 可能就足够了，而无需重新发明轮子。

Answer 1

通过有效的证书，SSL 已经足够安全，但是......

很多人不知道收到无效证书错误意味着“您的数据可能会被其他人拦截”。他们只会忽略警告，中间人攻击仍然有效。此外，如果证书无效，某些较旧的浏览器(例如 IE6)甚至可能不会向您显示任何警告。在这种情况下，问题在于用户，而不是所使用的技术。这意味着您不应该尝试构建另一层安全性，而应该告诉使用您的应用程序的人获得无效证书错误意味着什么以及为什么他们应该使用现代浏览器。