javascript - Certifikatpinning i Ajax-anrop

Jag tror att jag redan vet svaret på detta men jag ville se om någon hade mer insikt i detta problem. Jag har gjort certifikatspärrning i Android- och iOS-applikationer för att göra dem mer säkra mot man-in-the-middle-attacker. Jag är nyfiken på, kan samma sak göras på en webbplats som utför Ajax-anrop? Jag tror inte det, eftersom Javascript-koden skulle kunna ändras under transporten, har någon haft någon erfarenhet av detta?

Svar #1

Du kanske är intresserad av detta: http://caniuse.com/#search=HPKP. Moderna webbläsare har redan stöd för public key pinning.

Också en bra artikel om att förhindra man-in-the-middle-attacker (eller göra det svårare för dem att genomföra - eftersom det verkar som att "förhindra" i ett säkerhetssammanhang har en relativ betydelse): http://blog.scottlogic.com/2016/02/01/man-in-the-middle.html

Och om du känner dig äventyrlig kan du gå på riktigt låg nivå med en inbyggd implementering av TLS i JavaScript: https://github.com/digitalbazaar/forge/blob/master/README.md