HTTPS发送敏感数据

Question

我有两个不同的服务器，一个服务于桌面用户，另一个服务于移动用户。 （www.mywebsite.com,m.mywebsite.com）。

移动服务器上的用户需要发送一些敏感数据到www服务器进行处理。所以在www服务器上我已经安装了SSL。我想知道在mobile服务器中是否也需要SSL证书，以便安全地传输敏感数据？或者只有一台带SSL的服务器就足够了？

谢谢。

Answer 1

不仅要保护敏感数据的传输受SSL保护，还要保证导致此传输的任何内容。如果不是这种情况，人们可以使用诸如sslstrip之类的工具在中间攻击中做一名活跃的人，并用目标代替任何https://目标，而不会让受害者意识到它。 然后攻击者可以截获纯数据（即http不是https），并用https将它们转发给原始服务器。