WCF安全 - 在中间攻击中保护人免受

Question

我有一个使用传输和消息安全的WCF服务。我如何保护数据免受恶意的中间人攻击，例如从用户使用fiddler并允许fiddler解密HTTPS流量？

Answer 1

已在Fiddler documentation中涵盖此主题。您可以使用Fiddler来嗅探您有实际接入权限的各方的消息。鉴于您没有对恶意用户进行物理访问，您将受到传输和邮件安全的保护。

问：Fiddler2在HTTPS中是否存在缺陷？

答：不可以。HTTPS依靠证书来保护网络流量。 Web浏览器依靠可信的 根证书颁发机构颁发的安全性为 流量的证书来防止中间人攻击。按照设计，当流量 未受信任根颁发的证书保护时，Web浏览器将显示警告。

编辑
这是从另一个relevant answer

运输安全仅提供点对点的信道的安全性。它意味着HTTPS只在客户端和服务器之间建立安全通道，并向客户端公开。但是如果这台服务器只是一个负载均衡器 或代理服务器，它可以直接访问消息的内容。

消息安全性提供端到端的信道安全性。这意味着 安全性是传输数据的一部分，只有预定目标可以对数据进行解密（负载均衡器或代理只能看到加密的消息）。 邮件安全在大多数情况下也使用证书来提供 加密和签名，但它通常较慢，因为安全性可以使用HW加速。