Обнаружение человека посередине из приложения

Сегодня провел интересный эксперимент.

Я открыл Amazon.com в своем браузере, вошел в систему, открыл Fiddler и попытался добавить совершенно новую кредитную карту.

Я ввел номер своей кредитной карты, срок действия и имя держателя карты. Когда я отправил запрос, я не увидел POST в Amazon в Fiddler. Пользовательский интерфейс сказал, что возникла проблема с отправкой моей информации, и что я должен повторить попытку.

Я повторил и получил тот же ответ.

Я закрыл Fiddler и нажал «Отправить». Моя информация была принята мгновенно.

Я хотел бы знать, как Amazon совершил этот подвиг. Это общеизвестно? Есть ли HTTP-заголовок с сертификатами, облегчающий задачу?


person duffymo    schedule 26.04.2016    source источник
comment
Вы получили сообщение об ошибке из браузера или из Amazon?   -  person the scion    schedule 26.04.2016
comment
Сообщение об ошибке появилось в приложении Amazon в браузере. Это не было всплывающим окном; это выглядело как сообщение проверки, которое вы ожидаете от веб-приложения, если вы ввели неверные значения в текстовое поле.   -  person duffymo    schedule 26.04.2016
comment
@Pillar, я добавил тег java, потому что мне интересно добавить его в приложение Java. Я согласен, что это не имеет отношения к вопросу.   -  person duffymo    schedule 26.04.2016
comment
есть несколько возможных решений для предотвращения атак «человек посередине», как вы пытались здесь: stackoverflow.com/questions/10808930/ видимо на стороне клиента сертификация для аутентификации SSL - вещь? Также вы включили ssl-трафик в настройках скрипача?   -  person scrappedcola    schedule 26.04.2016
comment
Спасибо. Я посмотрю на них. Да, трафик SSL был включен в Fiddler.   -  person duffymo    schedule 26.04.2016
comment
Вам следует подумать о том, чтобы задать этот же вопрос (или перенести его на) Security.SE.   -  person esqew    schedule 26.04.2016
comment
Хорошее предложение, @esqew. Как мигрировать?   -  person duffymo    schedule 26.04.2016
comment
@duffymo Вы можете отметить свой вопрос и объяснить его модераторам в поле, если считаете, что он лучше подходит для Security.SE.   -  person esqew    schedule 26.04.2016
comment
Большое спасибо; высоко ценится. Искренне....   -  person duffymo    schedule 26.04.2016


Ответы (1)


Я думаю, что это закрепление сертификата или что-то в этом роде. Сертификат сервера закреплен в приложении, поэтому приложение принимает только его, а не любые другие сертификаты, даже если они действительны.

person Dmitry    schedule 26.04.2016
comment
Спасибо Дмитрий, буду разбираться. - person duffymo; 26.04.2016
comment
Маловероятно, что это закрепление ключа HTTPS. Согласно проверке на securityheaders.io, Amazon на самом деле не отправляет это заголовок вообще. - person Jules; 26.04.2016
comment
Ты прав. Что еще это может быть? - person Dmitry; 26.04.2016
comment
Кроме всего прочего, я не уверен, как HPKP действительно повлияет на это; этот заголовок в основном предназначен для того, чтобы сервер сопротивлялся олицетворению другими серверами, а не для того, чтобы клиент сопротивлялся олицетворению другими клиентами. - person Jules; 26.04.2016