如果使用SSL，我们应该自己加密数据吗？

Question

当我们通过SSL传输数据时，我们非常确定不会操纵或读取此数据。但我已经看到一些程序安装在客户端上，并且可以打开SSL数据包并显示它们。因此，用户将注意到我们发送的内容和端点。然后，用户能够重复请求，这可能会导致一些问题。

那么我们是否应该自己加密一些数据来加强这个程序，或者这不是必要的？我们可以依靠SSL来保证安全性，还是应该添加一些糖？

Answer 1

OpenSSL提供两种安全形式：

• 通过第三方进行身份验证，保证您正在与您期望的服务器通信。
• 加密保证您在双方（即客户端和服务器）之间传输的数据可以（理想情况下）不被解密和理解。

如果您可以使用数据包分析器（例如tcpdump或wireshark）查看客户端发送的内容，则可能表示您的客户端未发送加密数据包且未使用SSL。

如果您安装了openssl，则可以在跟踪数据包时使用以下命令测试服务器：

openssl s_client -connect my.server.com:443

请注意，我假设在端口443（https）上建立了SSL连接。

然后，您可以通过在命令行上键入数据将数据发送到服务器，这应该加密。如果您正在处理Web服务器，则可以键入GET命令，它应该返回网页。当然，接收/发送的数据在终端上被解密，但它应该在通过wireshark / tcpdump观察到的数据包中加密。