阻止提琴手攔截應用程序

如何防止我的HTTPS站點從提琴手攔截？由於Fiddler甚至可以攔截HTTPS流量。阻止提琴手攔截應用程序

有幾種工具和軟件/硬件設備可以攔截HTTPS流量...即使您可以防止Fiddler（我懷疑！）它不會真的有幫助。你的目標究竟是什麼？你爲什麼要防止截取？ – Yahia 2013-05-12 07:53:06

聽起來像他有一個設計問題，其中太多的敏感數據通過線路發送到客戶端。 – 2013-05-12 07:54:02

如果您擁有服務器*和*客戶端，則可以通過表單值創建自己的協議。它不會100％安全，但它不會像現在的小提琴那樣容易。 – 2013-05-12 08:02:03

你可以從網站上做些什麼來防止這種情況發生。 Fiddler運行在客戶端上，如果用戶有足夠的權限來運行它，那麼作爲Web開發人員，這是無法控制的。

2013-05-12 07:50:37

如何防止敏感信息暴露給客戶？ – user1672097 2013-05-12 07:52:18

不要將敏感信息發送給客戶端。敏感信息應該存儲在服務器上。 – 2013-05-12 07:52:55

你可以舉一個例子，可以在ASP.NET中做到這一點嗎？ – user1672097 2013-05-12 07:55:13

簡答：沒有太多的事情可以做。

長答案：提琴手通過創建一個看起來像您要與之通話的網站的證書來攔截SSL流量。要做到這一點，提琴手的用戶必須install a trusted certificate authority。一旦將此CA安裝在Fiddler代理上，即可創建看起來像來自任何網站的「可信」SSL證書。

如果您無法控制客戶端基礎架構，那麼您就無能爲力。如果這樣做，可以防止人們安裝受信任的證書頒發機構。

一些較大的網站（www.google.com）能夠實施certificate pinning，但這需要特定的應用程序支持，並且不太可能爲您工作。

2013-05-12 08:13:25 Steve

回答