它是否安全＆＃39;永久信任Fiddler根证书？

Question

我正在寻找使用Fiddler检查WFC客户端发送和接收的HTTP流量。为此，我已经通过Windows证书存储添加了Fiddler根证书。我的问题是，当我可能需要再次测试时，是否存在将此证书留在Windows存储中的风险？攻击可以利用它在那里的事实吗？我完成测试后应该将其删除吗？

Answer 1

由于Fiddler为我的系统唯一生成证书，即使对手知道我安装了这样的证书，也没有办法让他们利用这个。如果他们知道证书的唯一私钥，他们可能会利用这个来攻击我，例如，通过中间人攻击，但他们需要渗透我的系统才能获得证书，没有必要进行中间人攻击。

话虽如此，为了更加安全，我已经将证书安装在专门用于Fiddler的单独的Firefox配置文件中，这样我在进行一般网上冲浪时我的系统中没有证书。

Answer 2

来自提琴手FAQs

  

有什么风险？

     

许多安全人员担心，如果用户将Windows配置为   信任Fiddler的根证书，该用户可能会有访问量   被其他Fiddler用户拦截和解密。他们认为   Fiddler在所有安装中共享相同的根证书。

     

不要害怕！每个Fiddler根证书都是唯一生成的   用户，每台机器。没有两个Fiddler安装具有相同的根目录   证书。 Fiddler用户被坏人“欺骗”的唯一方法   家伙是如果那个坏家伙已经在用户的内部运行代码   帐户（这意味着您已经被伪装了）。

Answer 3

不，这不安全，是的，你应该删除它。

它的全部意义在于破坏SSL的安全性以便于调试。

它的名字中甚至有“DO_NOT_TRUST”，这是有充分理由的。

Answer 4

我在多个客户端看到的公司使用说明包括使用Fiddler后的Cert删除步骤。所以答案肯定是“是的，请在使用后删除证书。”