当我们在咖啡馆连上WiFi打开网页和邮箱时，殊不知有人正在监视着我们的各种网络活动。在打开账户网页的一瞬间，也许黑客就已经盗取了我们的银行凭证、家庭住址、电子邮件和联系人信息，而这一切我们却毫不知情。这是一种网络上常见的“中间人攻击”(Man-in-the-Middle Attack, MITM)，通过拦截正常的网络通信数据，并进行数据篡改和嗅探。

　　中间人攻击（英语：Man-in-the-middle attack，缩写：MITM）是指攻击者与通讯的两端分别创建独立的联系，并交换其所有收到的数据，使通讯的两端认为他们正在通过一个私密的连接与对方直接对话，但事实上整个对话都被攻击者完全控制。在中间人攻击中，攻击者可以拦截通讯双方的通信内容，并篡改或插入新的内容。一个中间人攻击能成功的前提条件是攻击者能够将自己伪装成每个参与会话的终端。
　　
　　网站中间人攻击的三大场景
　　
　　场景一：网站没有使用SSL证书，网站处于HTTP明文传输的“裸奔”状态。这种情况黑客可直接通过网络抓包的方式，明文获取传输数据。
　　
　　场景二：黑客通过伪造SSL证书的方式进行攻击，用户安全意识不强选择继续操作。
　　
　　受SSL证书保护的网站，浏览器会自动查验SSL证书状态，确认无误浏览器才会正常显示安全锁标志。而一旦发现问题，浏览器会报各种不同的安全警告。
　　
　　例如，SSL证书不是由浏览器中受信任的根证书颁发机构颁发的，或者此证书已被吊销，此证书网站的域名与根证书中的域名不一致，浏览器都会显示安全警告，建议用户关闭此网页，不要继续浏览该网站。
　　
　　场景三：黑客伪造SSL证书，网站/APP只做了部分证书校验，导致假证书蒙混过关。
　　
　　例如，在证书校验过程中只做了证书域名是否匹配，或者证书是否过期的验证，而不是对整个证书链进行校验，那么黑客就可以轻松生成任意域名的伪造证书进行中间人攻击。
　　
　　如何防御中间人攻击?
　　
　　首先，用户需要判断自己的网站有没有SSL证书保护呢?
　　
　　是否可使用https:// 正常访问。浏览器显示醒目安全锁，点击安全锁，可查看网站真实身份。使用了EV SSL证书的网站，会显示绿色地址栏。如果用户访问的网站呈现以上特征，说明该网站已受SSL证书保护。
　　
　　其次，采用权威CA机构颁发的受信任的SSL证书。数字证书颁发机构CA是可信任的第三方，在验证申请者的真实身份后才会颁发SSL证书，可以说是保护用户信息安全的第一道关口。
　　
　　最后，对SSL证书进行完整的证书链校验。如果是浏览器能识别的SSL证书，则需要检查此SSL证书中的证书吊销列表，如果此证书已经被证书颁发机构吊销，则会显示警告信息：“此组织的证书已被吊销。安全证书问题可能显示试图欺骗您或截获您向服务器发送的数据。建议关闭此网页，并且不要继续浏览该网站。”
　　
　　如果证书已经过了有效期，一样会显示警告信息：“此网站出具的安全证书已过期或还未生效。安全证书问题可能显示试图欺骗您或截获您向服务器发送的数据。建议关闭此网页，并且不要继续浏览该网站。”
　　
　　如果证书在有效期内，还须检查部署此SSL证书的网站域名是否与证书中的域名一致。
　　
　　如果以上都没有问题，浏览器还会查询此网站是否已经被列入欺诈网站黑名单，如果有问题也会显示警告信息。
　　
　　总而言之，企业能够做到证书部署和校验环节完整，个人用户能够认真观察HTTPS安全标识，识别证书真实性、有效期等信息，HTTPS几乎是无法攻破的，所谓的SSL中间人攻击就是一个伪命题。
　　
在网络安全事件频发的时代，部署HTTPS已是大势所趋，它用复杂的传输方式降低网站被攻击劫持的风险。当然，实现全网HTTPS不是一件立竿见影的事情，而是需要参与互联网的每一家企业都承担起网络安全的责任，我们每一个个体都增强保护自我隐私的意识，从而共同缔造一个安全的网络空间。SSL证书购买链接：https://www.zw.cn/trust/ssl/