Android上的双向SSL通信？

Question

我想发送一个请求到一个网络服务器。它应该是安全的，防止中间人的攻击。因此，我在webserver (https)上创建了一个SSL证书。作为回应，我会得到一个随机字符串。这个效果很好。

但是，我怎样才能确保反应，以保护它免受MITM攻击呢？如何将响应从and服务器发送到Android，我在Android上需要配置什么？我必须再买一张可信的证书吗？

Answer 1

在典型的称为单向TLS (a.k.a“服务器证书身份验证”)的设置中，服务器将侦听来自基本上任何客户端的请求，但客户端只信任服务器具有有效的证书。当客户端认为它可以信任接收到的证书时，就可以打开通信通道，并对其进行双向加密。

所谓双向TLS (即“客户证书身份验证”或“相互身份验证”)设置意味着两端都向另一端提交证书。换句话说，您的服务器将只信任某些客户端(提供有效证书的客户端)。这不会影响你对MITM的保护。你只会限制可信任的客户池。

因此，作为一个结论-如果你唯一关心的是保护你的通信免受MITM攻击，单向TLS是好的。

TLS v1.2：https://www.rfc-editor.org/rfc/rfc5246