最近一直在看https方面的资料，之前对https的理解是这样的先TCP三次握手建立连接，然后客户端向服务端请求证书和公钥，客户端验证证书，证书有效的话以后所有发送给服务端的消息都经过公钥加密，所有服务端发来的消息都经过公钥解密。但这里有个问题，第④步的公钥是明文给的，如何保证这之间中间人攻击——将公钥换成中间人自己的公钥，这样中间人就可以截获客户端发出的消息。
如果中间人篡改了公钥，客户端在验证证书的时候能否发现呢？我看了很多博文，里面都只提客户端会验证服务端的证书，却没有提是如何验证证书的。今天看到的一篇博文让我茅塞顿开，里面提到证书签名是经过证书签发机构私钥加密的，客户端是有该签发机构的公钥的，如果能正确解密，那么这个证书就是有效没被篡改过的。
ssl
3万+
被折叠的 条评论
为什么被折叠?
到【灌水乐园】发言
