我们如何改进SSL握手以提高安全性？
在SSL握手期间，服务器向客户端发送其（服务器）公钥，然后客户端创建会话密钥并使用服务器的公钥对其进行加密并将其发送到服务器。 然后服务器使用其私钥解密消息并检索会话密钥。 然后使用对称密钥保证服务器和客户端之间的进一步通信。
现在，如果服务器发送的初始公钥发送给恶意设备，它将创建自己的会话密钥并使用公钥对其进行加密并将其发送到服务器。 然后整个通信将发生在服务器和恶意设备之间。 我们如何解决它？
我不确定你是否有这个权利。 连接应该是：
client <--> server
由于SSL握手和服务器证书的验证，客户端知道它正在与服务器通话。 你的问题是如果发生什么情况：
client // MiTM <--> server
客户端不在通信环路中。 在这种情况下，服务器的标准认证和授权将MiTM视为未经授权的客户端，并且不提供敏感数据。
也许你会问，如果最初的连接是这样的：
client <--> MiTM <--> server
MiTM是一些恶意网络设备。 起初，服务器与客户端通话以获得用户认证，但随后（未知地）开始与MiTM交谈。 这不会发生，因为用户在SSL连接建立之前不会进行身份验证。 由于SSL连接旨在成功处理恶意MiTM攻击，MiTM可以看到流量但无法理解。
此处的关键洞察是，服务器在通过SSL进行身份验证之前不会信任客户端，并且客户端在获取安全SSL通道之前不会进行身份验证。 一旦在客户端和服务器之间正确建立了SSL通道，MiTM除了阻止连接之外无能为力。
简而言之，SSL起作用。
链接地址: http://www.djcxy.com/p/3709.html上一篇: How can we improve SSL handshake to increase the security?