HTTPS和fiddler证书

https
我向百度发送一个请求，百度回我一个证书，这个证书是经过CA验证的，上面有百度的公钥，我通过自己电脑上的根证书，验证这个证书（CA签名的实现），发现确实是CA颁发的证书，然后用他给我的公钥加密的一个字符串，发给他，他用和这个公钥配对的私钥解密，并发给我，我发现和我发给他的字符串是一样的，则说明他真的是百度，然后进行对称加密信息传输。

---

fiddler
fiddler实现原理就是在中间充当一个服务器，当他与自己手机相连时，往自己的手机上需要安一个fiddler伪造的根证书，用这个证书来验证其他证书的合法性，当手机验证fiddler发送给自己的证书时，因为有这个伪造的fiddler证书，然后自己的手机才会信任fiddler。从Android7.0以后，系统允许每个应用可以定义自己的可信CA集（SSL证书绑定），有部分应用默认只会信任系统预装的CA证书，而不会信任用户安装的CA证书。而在Android中用户安装的证书都是用户证书，所以无论是Filddler还是Charles我们都只是把他们的根证书安装到了用户证书，这些应用并不使用他们，所以我们的安装的证书是无效的。