没有SSL和HTTP的HTTPS

Question

我正在为Linux存储库开发本地服务器。我们一直在使用没有SSL验证的HTTPS来建立服务器和代理之间的连接。在关闭SSL验证时使用HTTPS与使用普通的旧HTTP真的有什么区别吗？

Answer 1

从普通的旧HTTP中提取敏感信息就足够了，被动嗅探也可以被动地捕获数据并在以后进行分析。为了从SSL (HTTPS)中提取相同数量的信息，需要在中间攻击中的活动人员创建攻击者与客户端之间的SSL连接，以及攻击者与服务器之间的另一个SSL连接。证书验证只允许客户端在传输任何数据之前检测到这样的攻击，也就是说，即使证书未被正确验证，攻击者仍然需要进行活动MITM攻击，而被动地嗅探加密数据是不够的。

如果这种主动攻击实际上比被动嗅探更难，则取决于您的特定环境。