3

我的印象是自签名证书构成中间人攻击的风险，因为中间人可以向客户端提供不同的自签名证书。我的问题如下。

如果我在服务器上使用自签名证书（使用 SelfSSL）并且在运行 ssl 页面（它是管理页面而不是公共页面）时，浏览器会给我一个警告，我将自签名证书安装在受信任的store（假设这个请求没有被中间人拦截），会不会有中间人攻击的风险。对于我的测试，我所做的是更改服务器上的证书，保持所有参数相同，它创建了一个不同的指纹，并且浏览器在运行 ssl 页面时再次开始给我警告。这意味着如果有人更改证书，我将收到警告，表明证书已从我添加到受信任存储的证书更改。我在做什么有什么缺陷吗？我不想只为自己的一页购买任何 ssl。

4

2 回答 2

5

是的，; 那会很好用。

只要浏览器可以验证您拥有正确的自签名证书，就可以了。

但是，如果您在信任证书的第一次连接期间受到 MITM 攻击，那么您就有大麻烦了。（因为您最终会信任攻击者的证书而不是您自己的证书）

于 2012-08-01T13:59:14.613 回答
3

从您的帖子中不清楚，如果此网络应用程序只有一个用户（您自己），请忽略下面，否则...

您不只是在训练您的用户忽略浏览器安全警告吗？那么当有人试图在 MITM 攻击期间注入新证书时，他们不会忽略警告呢？您希望他们忽略第一个警告，但如果他们稍后收到另一个警告，他们应该知道这是一个问题吗？

用户没有那么老练。使用自签名 SSL 基本上表示您不关心用户的安全性。

于 2012-08-01T14:40:40.187 回答