前几天我注意到，如果我运行IEInspector的HttpAnalyser并捕获登录我的银行账户或亚马逊账户时的post数据，post数据将以明文显示我的用户名和密码。这有点令人担忧。有人知道SSL加密在何时发生吗？我认为这意味着安装在您计算机上的任何软件都可能访问此post数据。非常可怕。
SSL到底有多安全？
3
- Andrew
4
6我认为你不应该担心存储在你的电脑上的数据（恶意软件可以捕获你输入的密码或其他信息）。SSL（现在是TLS）保护正在传输的数据。尝试从另一台机器上嗅探数据线，看看它们是否仍然是明文的。 - SapphireSun
这个问题可能更适合于超级用户论坛 :D - Hassan Syed
1任何安装在您的计算机上的软件都有可能访问此帖子数据，正如其他人所说，一旦您在计算机上安装了软件，它可以做什么就无法预测。这就是为什么您需要小心选择在计算机上安装的软件。除了像 iPhone 操作系统这样的系统，但每个人都讨厌它，因为它太封闭了 :/ - Paul D. Waite
谢谢Paul，我想我将来需要更加小心地安装软件到我的电脑上。 - Andrew
6个回答
15
这个东西内置在你的浏览器里面！浏览器是加密文本的实体，因此它显然会有加密和未加密文本的副本。你展示的插件可以访问IE的所有内容。
如果你想要真正了解正在发生的事情，请使用wireshark。它可以读取浏览器输出的实际网络流量。
- Hassan Syed
7
安全套接字层 - 它加密了通过套接字（网络/互联网）传输的数据，而不是在您的本地计算机上进行加密。
- Robin Day
2
SSL加密了“通过网络”的流量。因此，在您的计算机和接收服务器之间是安全的（减去SSL漏洞，例如刚刚发现的新漏洞-http://twit.tv/sn223）。
如果您的计算机上有恶意软件，则不再安全。 SSL无法帮助您。 恶意软件可以使用更基本的攻击方式，例如键盘记录等。
- Guillaume
2
SSL非常安全。
我认为Thilo已经找到了正确的答案 - IEInspector似乎在IE下运行，而不是作为一个独立的工具。因此，我怀疑它能够显示流量在通过SSL堆栈并离开浏览器之前。
你可以通过下载像Wireshark这样的数据包嗅探器并从网络卡中嗅探流量来证明这一点。你会发现数据包实际上是加密的，你的登录信息并没有以明文的形式发送出去。
- Paolo
1
关于SSL的问题，与其在浏览器中看到您的uid/pwd的问题相比，SSL是没有问题的。最近出现了一些非常微妙的攻击，但它仍然是一个很好的协议，特别是TLS 1.0及以后版本（TLS是IETF批准的SSL）。
但是，您需要考虑威胁-您想通过SSL解决哪些问题？如果您担心在传输过程中的篡改检测和服务器身份验证的保密性，那么这很好，只需确保您的客户端和/或服务器不会协商到弱密码套件，例如40位或56位RC4或DES，或MD4等。
SSL还可以提供客户端身份验证，但这是可选的。
最后注意一点，SSL通常比您设计的任何东西都要好得多：）
祝好，迈克尔
但是，您需要考虑威胁-您想通过SSL解决哪些问题？如果您担心在传输过程中的篡改检测和服务器身份验证的保密性，那么这很好，只需确保您的客户端和/或服务器不会协商到弱密码套件，例如40位或56位RC4或DES，或MD4等。
SSL还可以提供客户端身份验证，但这是可选的。
最后注意一点，SSL通常比您设计的任何东西都要好得多：）
祝好，迈克尔
- Michael Howard-MSFT
0
在网络传输之前，SSL加密一定会发生。数据包嗅探器无法获取请求或响应的内容。
IEInspector是否在IE内部运行（作为插件）？如果是这种情况，它可能会做一些相当恶劣的事情（但您在安装时已经同意了这一点）。
- Thilo
2
HttpAnalyser不支持在IE中运行，我已经使用Chrome和IE进行了相同的测试，并且在HttpAnalyser中显示的POST数据清楚地显示了用户名和密码。我认为这对所有浏览器都是适用的。 - Andrew
你可以在此处下载试用版：http://www.ieinspector.com/httpanalyzer/download.html
使用您喜欢的浏览器进行测试，并查看POST数据选项卡。 - Andrew
网页内容由stack overflow 提供, 点击上面的可以查看英文原文，
原文链接
原文链接