浏览器上看到建立了 HTTPS 连接，能说明传输的所有内容是安全的吗？

This topic created in 4264 days ago, the information mentioned may be changed or developed.

主要是看到这个讨论，http://www.v2ex.com/t/136893

有一种观点是只要建立了 HTTPS 链接，就是牢不可破的。问题是黑客可以阻止 HTTPS 连接的建立。那么如果我已经看到浏览器报告建立了 HTTPS 连接，是否可以保证传输的信息是可靠的呢？

假设：
1)用户的操作系统没有被植入木马
2)用户浏览器信任的证书没有问题

=====
我的一些疑问：
1）DNS 劫持是否可能导致建立的 HTTPS 是用户和钓鱼站点之间的连接？
2）即使是使用自己的 Wifi，在公网被 DNS 投毒也不是不可能。如何保证 HTTPS 连接的可靠性？

连接

建立

传输

13 replies • 2014-10-04 13:58:43 +08:00

wb14123

Oct 3, 2014 via Android

国内很多https其实是不验证证书的，就是说有可能dns劫持

dangge

Oct 3, 2014

如果不全程https 安全就毫无意义。
在公网被DNS投毒这个不了解。。。不过这种事情一年都难出现一次。

lightening

Oct 3, 2014

@dangge 这种事情不是每天都在发生吗……
@wb14123 不验证证书如何能建立 HTTPS 连接呢？浏览器会检查的啊，不然给警告。我自己的网站证书忘了续费浏览时就会警告。

dangge

Oct 3, 2014

@lightening 所以说国内除了少数的一些全程Https的网站可以说是安全外别的Https就是起一个拉低加载速度的作用。。。。

9hills

Oct 3, 2014

全程HTTPS，本机无问题。就可以认为是安全的。
什么DNS、HTTP劫持都搞不定HTTPS

zxc111

Oct 3, 2014

打开证书信息，上面行写着“
保证远程计算机的身份，
向远程计算机证明您的身份
”
除非劫持的服务器端证书和真正网站的服务器端证书一直，不然浏览器直接就提示证书不被信任

raincious

Oct 3, 2014

不能。这涉及到服务器策略，比如同源策略等等以及引用的外部服务是否安全。

简单来说SSL只是让你能够加密的传输数据，但是不保证有不合法的代码混入安全环境。

比如如果站点本身就有XSS风险，那么HTTPS无能完全避免这个风险（虽然浏览器会拒绝加载部分资源，但是绕过也是有可能的）。

所以，就这个例子，还是相信@yuange1975说的。“安全”其实在某些方面意义上==“没有侥幸心理”