HTTPS面对中间人攻击，难道真的毫无还手之力？

HTTPS真的能挡住中间人吗？

先说一句——别把HTTPS想成是金钟罩铁布衫，它也会被人撕开一个小口子。别说我瞎扯， 复盘一下。 实际操作里你只要点一下「信任这个证书」黑客立马变成了你家客厅里的“亲戚”。

一、TLS握手的戏码：谁在演？

客户端先给服务器送上一堆随机数和加密套件列表，服务器甩给你自己的公钥证书。 绝绝子！ 如果这张证书被伪造了后面的对称密钥就会被中间人悄悄偷走——这就是MITM的核心。

很多人以为只要浏览器弹窗提醒「此连接不平安」就够了其实大多数用户直接点「继续访问」。

二、 常见的「假证书」套路

• 企业内部代理装了自签根证书，却忘记在所有终端上部署。
• 公共Wi‑Fi热点用透明代理截获HTTPS流量，然后用Fiddler之类的工具生成伪CA。
• 恶意软件偷偷在系统根存储里塞入DO_NOT_TRUST_FiddlerRoot。

三、我们还能怎么「硬刚」？

下面列出几招“临时救命”， 但请记住这些都不是万无一失的神仙操作：

1. 证书固定

APP里硬编码服务器公钥指纹，一旦出现不匹配就直接抛异常。 不过实现成本高，而且每次换证书都得重新打包更新，图啥呢？。

2. 使用HSTS + HPKP

看好你哦！ 让浏览器强制走HTTPS，并在第一次访问时缓存公钥哈希。可惜大部分现代浏览器已经不再支持HPKP。

3. 定期审计根证书库

打开Windows证书管理器（certmgr.msc)，手动检查是否有陌生的根CA。 摸个底。 发现异常马上删除并重启系统。