什么是SSL的点，如果提琴手2可以解密通过HTTPS提供所有来电？什么是SSL的点，如果提琴手2可以

我在这里问一个问题，关于如何隐藏我的http请求电话，让他​​们在我的应用程序更安全而回。 我不希望人们使用Fiddler 2，看该呼叫并设置自动应答。 每个人都告诉我去SSL和通话将被隐藏，信息安全保存。

我购买并安装SSL证书，并把一切都成立。 我启动了提琴手2就跑连接到HTTPS Web服务以及连接到HTTPS PHP脚本测试应用程序。

提琴手2不仅能够同时检测的要求，但对它们进行解密，以及！ 我能看到的所有信息回去和第四，这使我想到我的问题。

什么是具有SSL如果做零差价安全的地步。 带或不带SSL我可以看到所有的信息走去，第四和STILL设置自动应答。

有什么在.NET我缺少更好地隐藏自己的电话会通过SSL？

编辑

我由于一些我所收到的答复中增加一个新的组成部分这一问题。 如果一个应用程序连接到Web服务登录。 该应用程序发送Web服务的用户名和密码。 Web服务，然后将数据发送回应用说好登录数据还是坏。 即使通过SSL会使用招2人可以只设立一个自动应答器和应用程序，然后“破解”。 我明白这怎么可能看到调试中的数据是有用的，但我的问题是，究竟应该做一个什么，以确保将SSL连接到它请求一个。 基本上说不能有一个中间人。

Answer 1:

这是这里介绍： http://www.fiddlerbook.com/fiddler/help/httpsdecryption.asp

Fiddler2依赖于“人在中间人”的方式来HTTPS拦截。 要在您的网页浏览器，Fiddler2声称自己是安全的Web服务器，以及Web服务器，Fiddler2模仿网页浏览器。 为了冒充网络服务器，Fiddler2动态生成HTTPS证书。

基本上你手动信任任何证书提琴手提供，同样会是真实的，如果你手动接受来自素不相识的人不匹配域名证书。

编辑：有办法防止菲德勒/中间人攻击 - 使用SSL可以要求特定的证书，即在自定义应用程序将被用于通信。 在浏览器的情况下，他们有UI通知证书不匹配的用户，但最终允许这样的通信。

至于明确的保证书的公开可用的样本，你可以尝试使用Azure服务（即使用PowerShell工具为天青）和嗅探交通与小提琴手。 它未能由于明确的证书要求。

Answer 2:

你可以设置你的网络服务需要客户端认证SSL认证，以及服务器端。 这提琴手方式将无法连接到您的服务。 只有你的应用程序，它具有所需的证书就能够连接。

当然，那么你如何保护应用程序内的证书的问题，但你有这个问题现在您的用户名和密码，反正。 有人谁真的想破解你的应用程序可能有反射一展身手，甚至做与客户端证书相关的私钥的记忆搜索。

还有，使这个100％防弹没有真正的方法。 这是同样的问题，电影业有保护DVD内容。 如果你有能够解密DVD和播放内容的软件，然后有人能做到内存转储，而软件是在动作并找到解密密钥。

Answer 3:

SSL / TLS的一般观点是，这样使用Wireshark偶尔窃听者无法看到您的有效载荷。 菲德勒/打嗝意味着你与系统交互。 是的，这是一个非常简单的交互，但它确实需要（一个）的系统受到损害。

如果你想使这些中间人程序没用在这样一个基本的水平，以提高安全性，您将需要客户端证书身份验证（双向SSL）和引脚服务器和客户端证书（如需要，只有特定的证书有效期为通讯科）。 您也将加密与每一方的公钥的电线传送的有效载荷，并确保私钥仅驻留在它们所属的系统。 这样，即使一方（BOB）被攻破，攻击者只能看到被发送到鲍勃，而不是Bob发送给Alice。 然后，您将采取加密的有效载荷和一个可核查的证书签名的数据，以确保数据没有被篡改过（有很多上是先进行加密或签名第一，顺便说一句辩论）。 最重要的是，你可以使用类似SHA2若干遍，以确保是“为发送的”签名（尽管这在很大程度上是一个不起眼的步骤）哈希签名。

这将让你了解在安全的方式实现合理的，当你不控制（一个）通信系统的远。

正如其他人所提到的，如果一个攻击者控制的系统，它们所控制的RAM，并可以修改内存中的所有方法调用。

文章来源: What is point of SSL if fiddler 2 can decrypt all calls over HTTPS?