Security https:如果取消了浏览器执行的证书验证步骤,会出现什么问题?

Security https:如果取消了浏览器执行的证书验证步骤,会出现什么问题?,security,https,identification,Security,Https,Identification,在https协议中,浏览器通过检查证书是否由有效CA签名来验证服务器(例如)提供的证书。一旦建立了这种信任,整个非对称加密就会生效 我很理解第二部分(非对称加密,建立密钥)。然而,我无法理解第一部分的必要性。为什么服务器需要标识自己 好的,dns注册中心会将paypal.com指向正确的IP地址。因此,黑客不会操纵dns,让paypal.com指向他的服务器。即使他这样做了,他也可以出示另一份已经CA签署的证书 我正在寻找一些示例,说明如果取消服务器标识步骤,会出现什么问题?请执行以下操作: 下

在https协议中,浏览器通过检查证书是否由有效CA签名来验证服务器(例如)提供的证书。一旦建立了这种信任,整个非对称加密就会生效

我很理解第二部分(非对称加密,建立密钥)。然而,我无法理解第一部分的必要性。为什么服务器需要标识自己

好的,dns注册中心会将paypal.com指向正确的IP地址。因此,黑客不会操纵dns,让paypal.com指向他的服务器。即使他这样做了,他也可以出示另一份已经CA签署的证书

我正在寻找一些示例,说明如果取消服务器标识步骤,会出现什么问题?

请执行以下操作:

  • 下载攻击代理,如Burp或OWASP ZAP
  • 打开它,从浏览器代理您的流量。接受无效的证书
  • 使用代理操纵流量。凌驾于竞争之上。删除内容。把恶意链接放在那里。不管怎样
  • 观察你的浏览器
  • 看,这不再是paypal.com的内容了。你看到的是你自己的,浏览器的URL中仍然有paypal.com

    通过这种方式,各种各样的MitM(中间人)攻击都是可能的

    顺便问一下,你认为你的DNS呼叫是经过身份验证的吗

    (本地网络中的任何人都可以这样做)怎么样?这不是火箭科学,10岁的孩子可以进行这样的攻击