WCF安全 - 在中間攻擊中保護人免受

Question

我有一個使用傳輸和消息安全的WCF服務。我如何保護數據免受惡意的中間人攻擊，例如從用戶使用fiddler並允許fiddler解密HTTPS流量？

Answer 1

已在Fiddler documentation中涵蓋此主題。您可以使用Fiddler來嗅探您有實際接入權限的各方的消息。鑑於您沒有對惡意用戶進行物理訪問，您將受到傳輸和郵件安全的保護。

問：Fiddler2在HTTPS中是否存在缺陷？

答：不可以。HTTPS依靠證書來保護網絡流量。 Web瀏覽器依靠可信的 根證書頒發機構頒發的安全性爲 流量的證書來防止中間人攻擊。按照設計，當流量 未受信任根頒發的證書保護時，Web瀏覽器將顯示警告。

編輯
這是從另一個relevant answer

運輸安全僅提供點對點的信道的安全性。它意味着HTTPS只在客戶端和服務器之間建立安全通道，並向客戶端公開。但是如果這臺服務器只是一個負載均衡器 或代理服務器，它可以直接訪問消息的內容。

消息安全性提供端到端的信道安全性。這意味着 安全性是傳輸數據的一部分，只有預定目標可以對數據進行解密（負載均衡器或代理只能看到加密的消息）。 郵件安全在大多數情況下也使用證書來提供 加密和簽名，但它通常較慢，因爲安全性可以使用HW加速。