本文目录导读：
防止中间人攻击（MITM）的核心在于确保通信双方的身份真实性以及传输数据的完整性，以下是一些关键且有效的防护措施，适用于个人用户和企业环境：
使用加密连接
- 强制使用 HTTPS：访问网站时，确保网址以
https://开头（浏览器地址栏会有锁形图标），HTTPS 通过 TLS/SSL 证书加密数据，使得攻击者即使拦截到数据包也无法解密。- 提示： 不要点击浏览器提示“不安全”或证书错误的链接。
- 避免使用公共 Wi-Fi 进行敏感操作：在不安全的公共 Wi-Fi（如咖啡厅、机场）上，攻击者可以轻易设置虚假热点，即使使用了 HTTPS，也应尽量避免登录网银或输入密码。
- 使用 VPN（虚拟专用网络）：在连接不可信网络时，VPN 会先建立一条加密隧道，将所有流量发送到安全的服务器，这能有效防止本地网络中的嗅探和篡改。
验证身份与证书
- 检查证书信息：在浏览器中点击锁形图标，查看证书是否由受信任的证书颁发机构（CA）签发，域名是否匹配，以及是否在有效期内。
- 避免随意安装根证书：不要点击或安装来源不明的“安全证书”或“根证书”，攻击者可能会诱导你安装他们自己的恶意证书，从而伪装成合法网站。
- 启用证书固定（Certificate Pinning）：对于企业应用或高安全需求场景，可以在客户端代码中硬编码或预设服务器证书的指纹（Hash值），如果服务器返回的证书指纹不匹配，客户端会拒绝连接。
使用安全的认证机制
- 多因素认证（MFA）：即使攻击者通过 MITM 获取了你的密码，也极难同时获取你的手机验证码或硬件密钥，这是对抗 MITM 的强力补充。
- 客户端证书/双向 TLS：在服务器验证客户端身份的同时，客户端也要求服务器提供数字证书，这在企业级内部系统或银行应用中常见。
保持软件与系统更新
- 及时打补丁：操作系统、浏览器、路由器固件、防病毒软件的更新通常包含对已知漏洞（如 SSL 剥离攻击、Heartbleed、POODLE）的修复，攻击者常利用旧版软件的漏洞进行 MITM。
- 禁用过时的加密协议：在服务器端，应禁用 SSLv2/SSLv3 和 TLS 1.0/1.1，仅启用安全的 TLS 1.2 或 TLS 1.3，这些旧协议有已知的降级攻击风险。
留意网络环境与设备
- 避免使用公共未加密的热点：攻击者可以轻松创建一个带有相同名称（如 “Free Airport WiFi”）的恶意热点，在连接公共 Wi-Fi 前，务必向场所工作人员确认确切的热点名称。
- 检查路由器设置：更改默认的管理员密码，禁用 WPS（Wi-Fi Protected Setup）功能，并确保使用 WPA2 或 WPA3 加密。
- 警惕 ARP 欺骗/ DNS 劫持：在局域网中，攻击者可能通过伪造 ARP 或 DNS 响应来重定向流量，使用支持 DNSSEC（域名系统安全扩展）的 DNS 服务（如 Cloudflare 的 1.1.1.1 或 Google 的 8.8.8.8）可以减少 DNS 劫持风险。
简单实用的行动清单
| 场景 | 具体做法 |
|---|---|
| 上网 | 确保每步操作都在 HTTPS 下进行；不点击证书错误警告。 |
| 通讯 | 使用端到端加密的通讯软件（如 Signal， WhatsApp）。 |
| 移动办公 | 在任何陌生 Wi-Fi 上，必须开启并连接 VPN。 |
| 登录 | 务必开启两步验证（MFA）。 |
| 设备 | 保持手机、电脑、路由器的固件和应用为最新版本。 |
| 公共 Wi-Fi | 关闭“自动连接 Wi-Fi”功能；如果不需要上网，离开热点区域后断开连接。 |
一句话核心： 不信任网络，只信任加密和经过验证的身份。
如果你是在开发或运维工作中防止 MITM，可以进一步研究双向 TLS认证和HSTS（HTTP严格传输安全） 策略。
