发送到 https url 的消息是否不受中间人攻击？答案

【问题标题】：Are messages sent to an https url safe from man in the middle attacks?发送到 https url 的消息是否不受中间人攻击？
【发布时间】：2014-11-12 14:04:12
【问题描述】：

我一直在看Stripe documentation，它要求生产网站有SSL证书。

我的理解是，由于卡信息通过 https 发送到 Stripe，并且只返回一个收费令牌，因此中间人攻击无法获得任何个人/机密信息。发送到 stripe 的信用卡信息被加密（发送到 https url），并且只返回一个收费令牌，攻击者无法做任何有用的事情，因为它只能用于向创建它的公司进行单次收费为。

谁能解释在这种情况下 SSL 证书如何帮助保护用户？当然最好有 SSL 证书，但我想知道为什么它是必需的。

谢谢。

【问题讨论】：

标签： ssl https stripe-payments

【解决方案1】：

服务器证书对于防止 HTTPS 中的 MITM 攻击至关重要。用于向客户端证明服务器的身份。

没有它，您将获得加密，但无法对远程方进行身份验证，因此本质上您将与某人交换数据，但您不确定那是谁：您实际上可能是在与会拦截连接的 MITM 攻击者。

当然，客户端需要验证它是否信任证书（这就是 CA 的用途）并且它与它正在寻找的服务器的名称相匹配。浏览器通常会这样做（这就是用户不应忽略警告的原因）。

（您可能对 Security.SE 上的这个问题感兴趣：“What is an SSL certificate intended to prove, and how does it do it?”）

【讨论】：