证书在Ajax调用中固定

我相信我已经知道这个答案，但我想看看是否有人对此问题有更深入的了解。我已经在Android和iOS应用程序中完成了证书锁定工作，使他们在中间人攻击中更加安全。我很好奇，在执行Ajax调用的网站上可以做同样的事情吗？我并不认为Javascript代码可以在运输过程中修改，有没有人有过这方面的经验？证书在Ajax调用中固定

来源

2016-04-01 Bobbake4

您可能会感兴趣：http://caniuse.com/#search=HPKP。现代浏览器已经支持公钥固定。

而且有关防止中间人攻击伟大的文章（或他们做更难拉断 - 在安全上下文中，因为它似乎“预防”具有相对的意义）：http://blog.scottlogic.com/2016/02/01/man-in-the-middle.html

如果你感觉冒险的你可以通过本地实现TLS在JavaScript中实现低水平：https://github.com/digitalbazaar/forge/blob/master/README.md

来源

2016-04-01 15:59:49

这是非常丰富的，谢谢你的帖子。在阅读完他们之后，我又进行了一些测试，发现我遇到了有关MITM攻击的另一个问题。如果您有任何见解，这将是有益的，http://stackoverflow.com/questions/36504363/securing-web-server-against-mitm-in-safari – Bobbake4

证书在Ajax调用中固定

回答

相关问题