你不在意的HTTPS证书吊销机制

在安全界，有个攻击手段，叫Man-in-the-middle attack中间人攻击，如果证书被黑客拿到，搭建一个具备相同域名的网站，通过DNS污染的方式使得用户浏览器访问该域名，那么可以成为一个反向代理，把用户的请求解析后，伪造程客户端来跟真实的Web服务器通讯，从而获取双方通信的明文信息，达到攻击的目的。

那这种情况怎么防范?中间人攻击的防御方式是开启客户端对证书的认证，但你的证书私钥又丢了，那能咋办?通过本文前面章节的了解到，这种情况，也只能主动到CA厂商那申请证书吊销了，不管有几个浏览器支持，也得申请，毕竟，这损失能减少一点是一点。

证书泄露了怎么办?

证书泄露了怎么办?从浏览器的支持情况来看，好像及时申请吊销了证书，也不能对丢失的证书起到太大的防范作用，很多浏览器并不是很支持的嘛。

不过，多少也能避免一些损失，毕竟IE浏览器对这块的支持力度还是很大的嘛。

注

本文的参考文献，大部分都是5-6年前的资料，这么多年过去了，互联网技术产品日新月异，里面很多结论早已不符合现状，尤其是浏览器当今对证书吊销状态检测的支持情况。部分内容，仅作为参考，便于读者去了解技术变迁的背景知识。

参考文献

RFC3280 Internet X.509 Public Key Infrastructure Certificate

High-reliability OCSP stapling and why it matters

Security Certificate Revocation AwarenessThe case for “OCSP Must-Staple”

Security Certificate Revocation AwarenessSpecific Implementations

Security Sidebar: My Browser Has No Idea Your Certificate Was Just Revoked

SSL certificate revocation and how it is broken in practice

Revoking Intermediate Certificates: Introducing OneCRL

Revocation doesn’t work (18 Mar 2011)

Revocation checking and Chrome’s CRL (05 Feb 2012)

No, don’t enable revocation checking (19 Apr 2014)

Revocation still doesn’t work (29 Apr 2014)

An End-to-End Measurement of Certificate Revocation in the Web’s PKI

结束

嗯?话说《长安十二时辰》中望楼消息传送机制的加固呢?嗨，梦都醒了，谁还记得这事啊。

作者：陈驰 (CFC4N)

现任美团安全部技术专家，十年以上互联网产品研发经验，专注于分布式系统架构设计，目前主要从事安全防御产品研发工作。

（编辑：核心网）

【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容!