منع رجل في منتصف الهجوم أثناء استخدام https

Question

أنا أكتب قليلا التطبيق مشابهة omegle.لدي http server مكتوب في جافا العميل الذي هو مستند html.الطريقة الرئيسية من الاتصال عن طريق طلبات http (الاقتراع طويلة).

لقد نفذت نوعا من الأمن باستخدام بروتوكول https و لدي securityid لكل عميل أن يربط إلى ملقم.عندما يتصل العميل الملقم يعطيها securityid التي يجب على العميل إرسال دوما إلى الوراء عندما يريد طلب.

أخشى من رجل في منتصف الهجوم هنا, هل لديك أي اقتراحات كيف يمكن حماية التطبيق من مثل هذا الهجوم.

ملاحظة أن هذا التطبيق هو بناء النظرية الأغراض ، فإنه لن يكون من أي وقت مضى تستخدم لأسباب عملية لذلك الحلول الخاصة بك لا يجب أن تكون بالضرورة العملية.

Answer 1

HTTPS لا تفعل سوى التشفير ، ولكن أيضا مصادقة الملقم.عندما يتصل عميل الملقم وتبين صالح والمتبادلين شهادة المجال.هذه الشهادة لا يمكن ببساطة أن المغشوش أو ردها من قبل رجل-في-الوسط.

Answer 2

مجرد تمكين HTTPS ليست جيدة بما فيه الكفاية لأن شبكة الإنترنت يجلب الكثير من المضاعفات.

لشيء واحد, تأكد من تعيين تأمين العلم على ملفات تعريف الارتباط, أو أنها يمكن أن تكون مسروقة.

كما انها فكرة جيدة للتأكد من المستخدمين الوصول إلى الموقع عن طريق كتابة https://<yourdomain> في شريط العنوان ، هذا هو السبيل الوحيد لضمان HTTPS الدورة مع شهادة صالحة.عندما كنت اكتب https://<yourdomain>, المستعرض سوف ترفض السماح لك على الموقع إلا إذا كان الخادم توفر شهادة صالحة لمدة <yourdomain>.

إذا كنت مجرد نوع <yourdomain> دون https:// في الجبهة ، فإن المتصفح لن يهمني ما يحدث.هذا وقد اثنين من آثار أستطيع أن أفكر في الخروج من أعلى رأسي:

1. المهاجم الموجهات إلى بعض unicode المجال مع اسم مماثلة (أي:تبدو متشابهة لكن مختلفة ثنائي السلسلة وبالتالي فهي مجال آخر) ثم المهاجم توفر شهادة صالحة لهذا المجال (بما أنه يملك ذلك) المستخدم ربما لن تلاحظ هذا...

2. المهاجم يمكن أن تحاكي الملقم ولكن دون HTTPS ، كان من شأنه أن يجعل بلده تأمين اتصال الخادم الحقيقي وتصبح نص واضح الوكيل بينك و بين الخادم, وقال انه يمكن الآن التقاط كل حركة المرور الخاصة بك و فعل أي شيء يريده لأنه يمتلك جلسة العمل الخاصة بك.