售前咨询
技术支持
渠道合作

https能避免流量劫持吗?

http是一个已经被使用了20多年的古老协议。现在网络技术已经取得了很大的进步和发展,http已经逐渐被https所取代。在http中,它非常容易受到网络攻击,尤其是流量劫持,给广大网民带来了严重的损失。那么,用https取代http会变得安全吗?它会被流量劫持吗?

https能避免流量劫持吗?

https能避免流量劫持吗?

能!但是,前提是必须使用受信任的SSL证书。

与简单的http代理不同,HTTPS服务需要由权威的证书颁发机构颁发的SSL证书才算有效。由于自签证书浏览器不认,并将给予严重警告。然而,当遇到“此网站的安全证书存在问题”的警告时,大多数用户并不知道是什么情况并继续访问,导致信任了黑客的伪造证书,HTTPS流量因此遭到劫持。

如果重要账户网站遇到这种情况,怎样都不应该点击继续,否则大门的钥匙可能会落入黑客手中。

这里所说的权威CA机构是指通过了WebTrust国际认证,根证书由微软预置,并受到微软等各种操作系统、主流移动设备和浏览器信任的CA机构。在中国,还有一个附加项,即要拿到工信部许可的CA牌照。只有这样的CA机构才有权颁发各种数字证书。

自签证书是指任意不被信任的机构或个人,自己签发的证书很容易被黑客伪造和替换。

全站https的重要性

情况一:从http页面跳转访问https页面

事实上,在 PC 端上网很少有人直接进入HTTPS网站。例如,支付宝网站,大多数都是从淘宝跳转过来,而淘宝仍然是使用不安全的HTTP协议。如果XSS被注入到淘宝网的页面中,屏蔽跳转到HTTPS的页面访问,并用HTTP取代,用户将永远无法进入安全的站点。

虽然HTTPS的字样没有出现在地址栏中,但域名看起来似乎是正确的,大多数用户会认为不是网络钓鱼网站,因此忽略了。只要入口页面不安全,后续页面再怎么安全也是没用的。

情况二:http页面重定向到https页面

有些用户通过输入网址进行访问。他们输入www.alipaly.com并进入其中。然而,浏览器不知道这是一个HTTPS网站,所以使用默认的HTTP访问它。然而,这个HTTP版的支付宝的确也存在,其唯一的功能是重定向到自己的HTTPS网站上。一旦劫持流量的中间人发现有重定向到HTTPS站点的,就拦下重定向命令,自己获取重定向后的站点内容,然后回复给用户。因此,用户总是访问HTTP站点,自然就可以无限劫持了。

国外各大知名网站(PayPal,Twitter,Facebook,Gmail,Hotmail等)都通过Always on SSL(全站https)技术措施来确保用户机密信息和交易的安全,防止会话攻击和中间人攻击。

上一篇:

下一篇:

相关文章