HTTPS是否可以保护客户端/服务器通信“足够安全”？

Question

我正在开发的应用程序执行某种服务器端授权。通过安全通道完成通信（在我的情况下为HTTPS，具有有效的SSL证书）。我打算实施一些能够验证远程服务器是否与他声称的完全相同的东西。

我知道没有客户端保护是不可破坏的，特别是考虑到足够的时间和知识。但是，如果我实现上面描述的内容，是这种安全方法“足够安全”，以防止数据在传输过程中被篡改，或防止中间人攻击，并确保其有效性吗

我正在考虑在转移数据周围添加另一层安全性（通过使用私钥/公钥对），但我怀疑依赖SSL可能就足够了，而不需要重新发明轮子。

Answer 1

SSL使用有效证书足够安全，但是......

很多人不知道获得无效的证书错误意味着“您的数据可能会被其他人拦截”。他们只会忽略警告，而中间人攻击仍然有效。此外，如果证书无效，某些较旧的浏览器（如IE6）甚至可能不会向您显示任何警告。这种情况下的问题是用户，而不是使用的技术。这意味着您不应该尝试构建其他安全层，而应该教会使用您的应用程序的人员获取无效证书错误的意义以及为什么他们应该使用现代浏览器。

Answer 2

先生。 B， 正如您所提到的，客户端将验证服务器SSL证书并且用户不是进程的一部分，我认为您将很好地验证服务器SSL证书。但是，您必须妥善保管验证过程。我见过几个客户端应用程序，它们不能很好地验证证书。 “足够好”，我的意思是客户应该验证 - 1）认证机构2）持续时间3）发布的网站 我在笔测试中的一个应用程序有一个错误，它正在验证证书的“CN” - 这可能是欺骗（可以创建一个任意CN的虚假证书）。