HTTPS攻撃とMITM攻撃

Question

ログイン画面から始めて、私のアプリケーションのログイン部分をHTTPSで実行する予定です。ユーザーがログインしてセッションをHTTPSで完全に継続すると、どのようにMITM攻撃を実行できますか？このような攻撃は、両当事者が何を言っているかを理解することに依存していないのですか？

私はWCFサービスでasp.netを使用しており、後でAzureに移植します。

ありがとうございました。

Answer 1

ログインセッションがHTTPSで暗号化されている場合は、MITM攻撃から安全です。クライアントは、サーバーの公開鍵を使用して暗号化されたサーバーにデータを送信します。サーバーの公開鍵は、サーバーの秘密鍵でのみ解読できます。クライアントとサーバーは、この安全なチャネルを使用して、通信に使用する秘密鍵に合意します。

MITM攻撃者はプライベートキーを取得できません。秘密キーはプライベートキーであるためです。証明書はCAからしか取得できないため、（理論的には）ブラウザの信頼者は、自分が証明している場合を除いてドメインの証明書に署名しませんので、対象ドメインの証明書を提示することはできません。彼らはセッションキーを得ることができないので、MITM攻撃は不可能です。