域名的SSL证书泄漏对网站的安全性影响

安全性影响

证书这个东西，不比别的，加密数据一方面。中间人攻击，运营商劫持，一系列等，都能对企业造成很大的危害。。。国外的很多证书机构，每次签证书都要几个人到场，录视频的一些，听一个同事讲的，反正危害挺大的

中间人攻击

SSL网络安全协议采用了非对称与对称混合的加密机制。在建立SSL连接时，网站会把自己的数字证书发送出示给客户端。客户端会首先检验网站服务器证书的有效性，主要检验这两点：一、证书是否由客户端信任的CA之一签发；二、证书名称与网站域名的一致性。检验通过后，客户端使用本地随机数发生器产生一个称为会话密钥的对称加密密钥，使用服务器证书中的公钥加密后，发给服务器。此后，客户端与服务器之间交换的应用数据包都会使用会话加密予以保护。为了获得SSL加密通信的内容，中间人需要获得加密所使用的会话密钥。中间人采用的方法是，装成目标网站，向客户端出示一个伪造的同名服务器数字证书。为了这个伪造的证书通过客户端的检验，中间人必须让签发这个伪证书的CA的根证书进入客户端的受信任列表。然后，客户端就会使用中间人的伪证书公钥加密自己产生的会话密钥，经过中间人向服务器发送加密的会话密钥。中间人收到使用自己的公钥加密的会话密钥后，使用自己的私钥即可解密恢复出明文会话密钥。中间人在伪装成服务器与客户端建立SSL连接的同时，会与真实的服务器建立一个正常的SSL连接。以后，客户端发出的每个加密的应用级请求，如HTTP请求等，中间人都会先SSL解密成明文，然后再SSL加密发给服务器。服务器返回给客户端的数据，中间人也是照此处理。存在中间人攻击时，客户端与服务器的通信实际上是由两段SSL安全连接串起来的，客户端实际上是与中间人建立了SSL连接，一切收发信息都经过了中间人的明态转发，但是在客户端浏览器上，一眼看上去确是一个到网站的加密https安全连接。然而，所有通信内容，无论是用户在浏览器窗口中的输入，还是服务器发送给用户的网页内容，都在实施攻击的中间人的掌控之中。SSL中间人攻击的主要危害性在于，网站告诉公众的信息是，https连接是安全、无法窥视的。人们会在https网页中进行提交口令、个人信息、进行交易等等需要通信安全保障的操作，SSL中间人攻击的存在一方面直接导致这些敏感信息的泄漏，另一方面伤害了公众对安全通信的信心

https攻击

证书泄露，或者校验有缺陷容易导致的是https攻击，可以举个京东金融和中国移动的例子简单讲一下Android安全之Https中间人攻击漏洞 - 李大师的文章 - 知乎专栏 https://zhuanlan.zhihu.com/p/22426761

参考

https://www.zhihu.com/question/50486404/answer/121184147

作者：刘会议 链接：https://www.zhihu.com/question/50486404/answer/121335123