24、网络攻击防护：中间人攻击与DDoS攻击应对策略

网络攻击防护：中间人攻击与DDoS攻击应对策略

1. 中间人攻击及防护

1.1 证书固定技术

• CA 固定 ：CA 固定设置相对容易，但风险较高。因为证书颁发机构（CA）可能被攻破，进而被用于签署恶意 SSL 证书。
• 客户端证书固定 ：需要为每个客户端颁发唯一的证书，并与匹配的唯一私钥绑定。服务器验证证书时，客户端需出示绑定的证书，否则服务器将拒绝连接。不过，客户端和服务器都需要执行多个步骤，实现难度较大，而且证书的撤销和重新颁发会增加复杂性。
• 公钥固定 ：固定公钥而非证书，有助于解决定期轮换固定证书带来的可用性挑战，因为证书轮换时公钥保持不变。但对于某些编程语言，从数字证书中以编程方式提取公钥是一个新挑战。

1.2 相互认证

相互认证技术能让服务器检测中间人攻击。理论上，在成功建立 SSL/TLS 连接之前，客户端和服务器可以相互验证并信任对方的证书。其流程如下：
1. 客户端请求与服务器建立加密连接，并共享其可用于保护流量的加密密码列表。
2. 服务器响应其支持的加密密码列表。
3. 客户端和服务器就加密连接使用的密码达成一致。
4. 服务器向客户端发送其数字证书和公钥，并请求客户端证书，客户端提供。
5. 服务器和客户端验证对方的证书并交换密钥，协商用于加密和解密流量的共享密钥。每个会话协商不同的共享密钥。

然而，这种方法要求服务器为每个客户端分发唯一的证书，有时不太可行，证书的撤销和重新颁发