Безопасна ли защита URL через WfI? [dубликат]

Question

Безопасна ли защита URL через WfI? [dубликат]

 . Где (столбец LIKE «Pattern»)

1

ios swift

задан zix 25 February 2011 в 20:46

2 ответа

Вы правы - без проверки подлинности сертификата на клиенте и сервере есть открытие для человека в средней атаке.

SSL может быть «безопасным в обоих направлениях», если вы используете взаимная аутентификация также называется двухсторонним SSL .

0

ответ дан Randy Levy 15 August 2018 в 16:00

1

возможно ли в этом случае инъекция кода JS? я могу взять ответ с сервера и вставить JS в него. Затем отправить его клиенту? – zix 25 February 2011 в 20:43
2

Хорошо, описать атаку. И не только MITM, скажите, что сделает MITM. Или посмотрите на анализ @ bdonlan. – James K Polk 26 February 2011 в 03:02

Другие вопросы по тегам:

ios swift

Похожие вопросы:

возможно ли в этом случае инъекция кода JS? я могу взять ответ с сервера и вставить JS в него. Затем отправить его клиенту? — zix, 25 February 2011 в 20:43
Хорошо, описать атаку. И не только MITM, скажите, что сделает MITM. Или посмотрите на анализ @ bdonlan. — James K Polk, 26 February 2011 в 03:02

score 5 · Accepted Answer

Как вы аутентифицируете клиента? SSL-сертификаты клиентов?

Вот что делает SSL в двух словах:

Переговаривает общий сеансовый ключ Diffie-Helmann между двумя сторонами
Сервер подписывает ключ сеанса и отправляет результат клиенту. Как только клиент проверяет это, клиент знает, что MITM не существует, а сервер - это тот, кто, по их словам, является.
Если клиентские сертификаты включены, клиент подписывает ключ сеанса и отправляет подпись на сервер. Теперь сервер знает, что нет MITM, а клиент - это тот, кто, по их словам, является.
Шифрует все данные в обоих направлениях, используя общий ключ сеанса

Обычно, когда вы используйте SSL, вы не будете использовать клиентские сертификаты. Строго говоря, сервер не знает, является ли соединение MITM'd. Однако большинство клиентов отключится, если сертификат сервера плох. Сервер предполагает, что если клиент нажимает на соединение с соединением, MITM отсутствует. Даже если Мэллори, выполняя MITM, предпочитает не распространять отключение от клиента, у него нет новой информации; все, что он сделал, связано с самим сервером. Без перехвата куки-файла сеанса клиента или другой информации аутентификации (которая отправляется клиентом только после проверки соединения) MITM бесполезен.

Итак, короче, если один конец или другой проверяет сертификат другого конца, прежде чем инициировать какую-либо высокоуровневую передачу конфиденциальной информации, SSL защищен в обоих направлениях.

Как я уже сказал, он шифрует все данные в обоих направлениях совместно используемым ключом сеанса. Клиент должен проверить, нет ли MITM, прежде чем он будет аутентифицироваться на сервере, и сообщит серверу о начале отправки данных (если вы не используете клиентские сертификаты, и в этом случае обе стороны проверяют друг друга) — bdonlan, 25 February 2011 в 20:57