通过未加密的无线网络进行的https通信是否安全？

21

这是我很久以来一直想知道的事情。例如，如果我通过https使用Gmail，如果我使用不安全的无线网络，有人可以阅读我的IM对话和电子邮件吗？我认为数据将是安全的，因为它使用的是加密连接。还有什么要考虑的吗？

wireless-networking security encryption

— 大卫斯科尔甘
source

3

相关必读文章：Firesheep

— Sathyajith铢

1

我认为这是促使他的文章/她问对这个问题这样的疑问。

— JFW 2010年

21

我认为，如果您使用的是不安全的wifi（甚至是安全的wifi，如果他们碰巧找到了一种允许的方法），那么有人仍然可以进行中间人攻击。这就是为什么您需要始终检查SSL连接在地址栏中显示为绿色和/或在使用不安全的wifi时手动再次检查证书是否有效的原因。假设证书正确，那么SSL应该可以保护您的数据。

— 达斯Android
source

7

如果使用正确检查的非破坏性SSL证书对SSL进行真正的SSL加密，则无法进行MITM攻击。

— ewanm89

@ ewanm89这就是为什么我要遍历不安全网络上的银行/电子邮件/任何敏感内容时需要检查证书的原因。如果您没有注意到证书验证失败，则可以使用MITM。幸运的是，这些年来网络浏览器使人们很难不注意到它。

— 达斯Android

1

要添加到@ ewanm89，并非不可能是MITM和嗅探数据包-因为它们是加密的，因此无法读取它们。

好吧，那真是可笑。在大多数情况下，MITM和拥有看起来像随机数据的数据包毫无意义，就像没有首先做到这一点一样。但是可以，也可以跟踪计算机正在连接的域，但不知道发送/接收的实际数据。另外，如果我们要说实话，理论上我可以以足够的计算能力蛮力地使用AES密钥（这需要很多时间）。

— ewanm89'2011-10-26

另外，我假设CA没有受到破坏，可以检查站点管理员实际上是否确实访问了该CA，并询问管理员另一通道应使用的证书指纹。如人们所见，正确检查SSL证书的情况很少见（尽管在openvpn之类的应用程序中进行了检查，管理员在连接前先分发了证书，客户端也完全对其进行了验证）。

— ewanm89 2011年

2

我认为您的推论是正确的；要读取您的信息，他们需要解密SSL。为了访问加密的数据，只有一种较低的加密级别可供破解。

— 彼得
source

2

只要您的DNS和浏览器的SSL根密钥服务器有效，那么攻击者就在同一不安全的无线网络上，因为您无法通过服务器进入SSL管道。

DNS是该领域的最大漏洞-如果您的DNS服务器链受到攻击者的感染，则可能使所有事情看起来都是安全的，但实际上是不安全的。

但是，如果您的问题是机场或咖啡店的随机黑客是否能够入侵您通往银行的SSL管道，答案几乎肯定没有。

— 史蒂夫米德利
source

1

无论如何，请记住，只有HTTP流中的数据是加密的，而URL则没有，因此也许有人可以冒充您。

— 伊格纳西奥·索勒·加西亚（Ignacio Soler Garcia）
source

2

这是不正确的。所请求的URL中除域名之外的所有内容都将被加密，然后再通过安全连接发送。这包括GET请求本身。

— 安德鲁（Andrew）2010年

1

您还需要考虑初始的非SSL页面不受保护。

当您访问登录页面时，您访问的大多数受保护的网站会将您从http重定向到https url，但是在不可靠的网络上，您可能会被中间人送往其他地方。

想想看，你可以参观http://firstoverflowbank.com，这通常会重定向你https://login.firstoverflowbank.com但不安全的网络上，而不是设置送你到https://login.flrstoverflowbank.com代替。即使您花时间检查，浏览器也会显示所有内容都是安全的，您可能不会注意到。

为避免这种情况，请直接添加书签或键入https：// url，切勿依赖该重定向。

— 安德鲁
source