https - 如何防止来自服务器端的 HTTPS 中间人攻击？

Question

在 HTTPS 安全模型中，最薄弱的部分是浏览器中的可信 CA 列表。有人可以通过多种方式将额外的 CA 添加到用户信任错误的人的列表中。

例如，您公司的公用计算机或 PC。管理员可能会强制您信任自己颁发的 CA，使用带有 HTTPS 中继的 HTTPS 代理服务器可能会非常不安全。结果，他们将能够窥探您的消息、登录名和密码，即使浏览器告诉您您正在使用受信任的 SSL 连接。

在这种情况下，Web 应用程序开发人员可以做些什么来保护用户和系统？

Answer 1

作为 Web 应用程序开发人员，您对此无能为力。

这个问题需要在堆栈中进一步处理。

如果地球另一端的人想要:

一种。在某人的计算机上放置一个虚假的根 CA

湾。在该 CA 下为您的域颁发证书

C。冒充您的网站

d。将某人的本地 DNS 条目为您的域指向不同的 ip

在上述任何步骤中都没有涉及或咨询您的应用程序，因此这是良好的网络管理和安全性很重要的地方。

除此之外，也许有人有正当理由在他们的个人网络上本地执行此操作。我是谁来阻止他们？

这本质上是公司网络代理过滤器所做的事情，他们有权这样做。

至于阻止恶意人员采取上述步骤，那是需要放在客户机器管理员上的东西。