当我们在客户端和服务器之间实现SSL固定时，Charles或任何中间人看到了什么?

Question

当我们在客户端和服务器之间实现SSL固定时，查尔斯或任何中间人会看到什么？

我对什么是SSL固定，如何在应用程序和服务器端实现它有所了解。 但我不清楚中间人如何看待SSL固定？在这种情况下，中间人会看到什么样的要求？以及为什么它无法从请求中获取信息？

Answer 1

如果正确实现固定，MITM 将从您的设备中看到原始 TLS ClientHello，其中可能包含目标主机名，并且它将从目标服务器获取叶证书和链证书。在MITM尝试将新创建的证书发送到客户端后，客户端应该关闭连接，因为证书不是预期的，即不传输实际的应用程序数据，而只传输元数据。