HTTPS和MITM攻擊

Question

我打算從登錄屏幕開始，在HTTPS中運行我的應用程序的登錄部分。一旦用戶登錄並以HTTPS完全繼續他的會話，MITM攻擊如何執行？這種攻擊不是依靠搞清楚雙方在說什麼嗎？

我正在使用asp.net與WCF服務，後來將端口到Azure。

謝謝。

Answer 1

如果您的登錄會話使用HTTPS進行加密，那麼您可以安全抵禦MITM攻擊。客戶端將使用服務器的公鑰將數據發送到服務器，該服務器的公鑰只能用服務器的私鑰解密。然後客戶端和服務器將使用這個安全通道來商定一個用於通信的密鑰。

MITM攻擊者無法獲取私鑰，因爲它是私密的。他們無法爲目標域頒發證書，因爲證書只能從CA獲得，並且（理論上）您的瀏覽器所信任的CA不會爲域簽發證書，除非他們證明自己擁有該證書。他們無法獲得會話密鑰，因此MITM攻擊是不可能的。