如果使用 SSL，我们应该自己加密数据吗？

Question

当我们通过 SSL 传输数据时，我们非常确定这些数据不会被操纵或读取。但是我已经看到客户端上安装了一些程序，它们可以打开 SSL 数据包并显示它们。所以用户会注意到我们正在发送什么以及发送到哪个端点。然后，用户可以重复一个请求，这可能会导致一些问题。

那么我们是否应该自己加密数据以加强此过程，或者没有必要？我们可以依靠 SSL 来保证安全性，还是应该给它加点糖？

Answer 1

OpenSSL 提供两种形式的安全性：

• 通过第三方进行的身份验证保证您正在与预期的服务器通信。
• 加密保证您在两方（即客户端和服务器）之间传输的数据（理想情况下）不会被解密和理解。

如果您可以使用数据包分析器（例如 tcpdump 或 wireshark）看到您的客户端发送的内容，那么这可能意味着您的客户端没有发送加密数据包并且没有使用 SSL。

如果您安装了 openssl，您可以在跟踪数据包时使用以下命令测试服务器：

openssl s_client -connect my.server.com:443

请注意，我假设 SSL 连接是在端口 443 (https) 上建立的。

然后您可以通过在命令行中输入数据来将数据发送到服务器，这应该是加密的。如果您正在处理 Web 服务器，则可以键入 GET 命令，它应该返回网页。当然，接收/发送的数据在终端上是解密的，但应该在通过wireshark/tcpdump观察到的数据包中加密。