使用代理时如何防范中间人攻击 (MITM) 与伪造证书
#中间人攻击#伪造证书#MITM防护
阅读需 4 分钟||
当我们在使用公共 Wi-Fi 或来历不明的免费代理节点时，不可信的网络转发路径大幅增加了遭受 中间人攻击 (Man-In-The-Middle, MITM) 的风险。
1. 什么是中间人攻击？
在正常的 HTTPS 加密通信中，您的浏览器直接与目标服务器进行密钥协商，其他人无法读取明文。 而在中间人攻击中：
- 恶意的代理节点拦截了您发往目标服务器的请求。
- 它自己假扮成目标服务器，向您返回了一张伪造的 TLS 证书。
- 同时，它再去和真实的目标服务器建立连接。 如果攻击成功，您的设备其实是在与这个“中间人”进行加密通信，对方即可截获并读取所有的明文账号密码。
2. 证书信任链是最后一道防线
防御 MITM 的核心在于绝不随意信任未知的根证书。 现代浏览器和操作系统在遇到伪造的 TLS 证书时，会弹出刺眼的红色警告：“您的连接不是私密连接”。
- 危险动作：如果您点击了“高级 -> 继续前往”，等同于授权中间人解密您的数据，此后的代理安全性彻底归零。
- 防范建议：除非是您自己为了抓包开发（如使用 Charles 或 Surge 的解密功能）而主动向系统安装的根证书，对于任何外界网络的证书警告，必须立即断开连接。
3. 端到端加密与 HSTS
许多现代网站部署了 HSTS (HTTP Strict Transport Security) 策略，这强制浏览器只允许通过受信的 HTTPS 连接访问该网站。如果中间人尝试返回伪造证书，HSTS 将阻止用户点击“忽略警告”，极大提高了由于操作失误导致数据泄露的门槛。 总而言之，保持操作系统的证书库更新，并仅使用信誉良好的商业代理链路，是预防中间人劫持的基础。
参考资料与相关阅读
- 相关阅读：为何不建议使用全自动随机获取代理的工具
- 相关阅读：TLS 指纹特征与代理连接成功率分析