Świadectwo przypinania w wywołaniach Ajax

Question

Wierzę, że znam już odpowiedź na to pytanie, ale chciałem sprawdzić, czy ktoś ma lepszy wgląd w ten problem. Wykonałem przypinanie certyfikatów w aplikacjach na Androida i iOS, aby zwiększyć ich bezpieczeństwo w ataku środkowym. Ciekaw jestem, czy to samo można zrobić na stronie internetowej, która wykonuje połączenia Ajax? Nie sądzę, że kod JavaScript mógł zostać zmodyfikowany podczas transportu, czy ktokolwiek miał z tym jakieś doświadczenie?

Answer 1

Być może zainteresuje Cię to: http://caniuse.com/#search=HPKP. Nowoczesne przeglądarki już obsługują przypinanie klawiszy publicznych.

Również wielki artykuł o zapobieganiu man in the middle ataki (lub ich podejmowania trudniej zdjąć - jak się wydaje „zapobieganie” w kontekście zabezpieczeń ma względną znaczenia): http://blog.scottlogic.com/2016/02/01/man-in-the-middle.html

A jeśli czujesz Przygód można przejść na naprawdę niski poziom z natywną implementacją TLS w JavaScript: https://github.com/digitalbazaar/forge/blob/master/README.md