Chứng chỉ khóa trong các cuộc gọi Ajax

Question

Tôi tin rằng tôi đã biết câu trả lời cho điều này nhưng tôi muốn xem liệu có ai có cái nhìn sâu sắc hơn về vấn đề này không. Tôi đã thực hiện ghim chứng chỉ trong các ứng dụng Android và iOS để làm cho chúng an toàn hơn chống lại con người trong các cuộc tấn công ở giữa. Tôi tò mò, điều tương tự này có thể được thực hiện trên một trang web thực hiện các cuộc gọi Ajax không? Tôi nghĩ không phải là mã Javascript có thể được sửa đổi trong quá trình vận chuyển, có ai có kinh nghiệm với điều này không?

Answer 1

Bạn có thể quan tâm đến điều này: http://caniuse.com/#search=HPKP. Các trình duyệt hiện đại đã hỗ trợ ghim khóa công khai.

Cũng bài viết tuyệt vời về việc ngăn chặn người đàn ông trong các cuộc tấn công giữa (hoặc họ làm khó khăn hơn để kéo giảm - như nó có vẻ "phòng ngừa" trong bối cảnh an ninh có một ý nghĩa tương đối): http://blog.scottlogic.com/2016/02/01/man-in-the-middle.html

Và nếu bạn đang cảm thấy mạo hiểm, bạn có thể thực sự ở mức độ thấp với việc triển khai bản địa TLS bằng JavaScript: https://github.com/digitalbazaar/forge/blob/master/README.md