什么是TLS/SSL中間人攻擊？這樣解釋?zhuān)庑腥艘猜?tīng)

經(jīng)常瀏覽網(wǎng)絡(luò )安全相關(guān)文章的時(shí)候，經(jīng)?？吹健爸虚g人攻擊”的字樣，這個(gè)詞頗有神秘感，很多人卻不知道到底什么是中間人攻擊，怎么防范中間人攻擊。今天小蔚就來(lái)和大家說(shuō)道說(shuō)道。

經(jīng)常瀏覽網(wǎng)絡(luò )安全相關(guān)文章的時(shí)候，經(jīng)?？吹?ldquo;”的字樣，這個(gè)詞頗有神秘感，很多人卻不知道到底什么是中間人攻擊，怎么防范中間人攻擊。今天小蔚就來(lái)和大家說(shuō)道說(shuō)道。

發(fā)生中間人攻擊后，信息會(huì )被竊取和篡改，造成不可避免的損失。歷史上曾經(jīng)發(fā)生過(guò)多著(zhù)名的中間人攻擊事件。

2013年，雅虎在中國大陸遭受中間人攻擊，瀏覽器發(fā)出ssl/' target='_blank'>證書(shū)錯誤警告，影響各個(gè)國家的Yahoo主站。

2020年，著(zhù)名代碼托管平臺Github疑遭受SSL中間人攻擊，SSL證書(shū)被替換為一個(gè)填寫(xiě)了QQ郵箱的自簽名證書(shū)，瀏覽器出現安全警告。

中間人攻擊事件屢見(jiàn)不鮮，那到底什么是中間人攻擊呢?因為中間人攻擊是發(fā)生在通信過(guò)程中的，所以要想明白什么是中間人攻擊，首先必須了解加密通信的過(guò)程。

加密通信

假設我們回到?jīng)]有計算機的年代，人們之間的通信，只能通過(guò)寄信的方式進(jìn)行。使用普通的寫(xiě)信收信很不安全，于是小蔚開(kāi)了一家特別的郵局，專(zhuān)門(mén)保證信件的安全，信的內容不會(huì )被篡改和竊取。

要怎么保證信件的安全性呢?小蔚想到了一個(gè)好辦法。

首先，進(jìn)一批安全性很高的鎖，再進(jìn)一批無(wú)法被暴力破解的鐵箱子。接著(zhù)把鎖和箱子放在門(mén)口。

如果小紅想和某一個(gè)人通信，小紅要先買(mǎi)一把鎖，這把鎖配有兩把鑰匙。來(lái)到加密郵局門(mén)口后，將其中一把鑰匙和鎖放進(jìn)鐵箱子里，再用小蔚提供的鎖(公鑰)鎖上。

因為鎖是小蔚提供的，除了小蔚，其他人是沒(méi)辦法將鐵箱子打開(kāi)的。

小紅可以將鐵箱子郵寄任何人了。拿到鐵箱子的人，只需要來(lái)找小蔚打開(kāi)箱子，就能建立與小紅之間的通信，

假設小紅將箱子交給了小明，小明來(lái)找小蔚打開(kāi)鐵箱子，取出小紅的鑰匙(密鑰)和鎖后，寫(xiě)下想和小紅說(shuō)的話(huà)，放進(jìn)鐵箱子里即可。

接下來(lái)，小蔚會(huì )用小紅提供的鎖，將箱子鎖上。

當箱子寄回去給小紅后，小紅只需要用鑰匙將鎖打開(kāi)，就能看到信的內容了。想要寄信的話(huà)，把信放進(jìn)去，重新鎖上寄回即可。

以上就是加密通信的過(guò)程，中間人攻擊又是怎么回事呢?

中間人攻擊

有一個(gè)慣犯叫張三，整天在小蔚加密郵局門(mén)口晃悠，他找準了時(shí)機，將加密郵局門(mén)口的鎖，偷偷換成了假鎖。

有一天他遇到了前來(lái)寄信的小紅，他騙小紅說(shuō)，自己是小蔚加密郵局的工作人員，只要把東西給他就可以了。

小紅信以為真，將一把鎖和鑰匙交給了張三。張三卻把鎖和鑰匙留下，將自己的一把鎖和鑰匙交給小蔚加密郵局。

小蔚很輕松地將鎖打開(kāi)，換上張三的鎖，并將寫(xiě)好的信放在箱子里。

這時(shí)候，張三一頓洗腦，讓小蔚相信他可以將箱子交還給小紅。

此時(shí)中間人攻擊順利完成。張三可以用輕松地打開(kāi)鐵箱子，看到信件的內容，知道其中的秘密，甚至還能修改內容后，再還給小紅。

防范中間人攻擊

小蔚日常盤(pán)點(diǎn)庫存的時(shí)候，發(fā)現了被張三偷偷換掉的假鎖，為了杜絕這一現象，小蔚找到了蔚可云，請求蔚可云給小蔚加密郵局門(mén)口的鎖，全都刻上無(wú)法偽造的鋼印。這樣一來(lái)，其他人就無(wú)法再偷偷將這些鎖換掉了。

蔚可云給鎖刻上鋼印的過(guò)程，就是配置SSL證書(shū)的過(guò)程。當網(wǎng)站配置安裝SSL證書(shū)后，就能很有效地抵御中間人攻擊。

可是大家都不認識蔚可云，不信任它刻的鋼印怎么辦?這時(shí)候，一個(gè)十分權威，可以讓他人無(wú)條件信任的人出現了，他告訴世界上所有的人，我來(lái)刻鋼印，再授權給蔚可云售賣(mài)。于是大家紛紛對蔚可云提供的鋼印充滿(mǎn)了信任感。紛紛認定小蔚加密郵局的刻著(zhù)鋼印的鎖，是真的。

這個(gè)十分權威的人，就是SSL證書(shū)的頒發(fā)機構。

原文地址：https://www.toutiao.com/i6931273598220943876/