فکر می کنم شما اشتباه درک کرده اید که حمله مجدد چیست. شما درست می دانید که یک MitM قادر به دیدن مخفیگاه premaster نیست ، اما یک مهاجم می تواند حتی اگر نتواند چیزی را رمزگشایی کند ، مشکل ایجاد کند.

بگویید که درخواستی را به سرور می دهید که ویجت را سفارش می دهد. یک MitM بین شما و سرور وجود دارد ، اما درخواست کاملاً ایمن است و آنها نمی توانند چیزی را رمزگشایی کنند. متأسفانه ، این یک دنیای متناوب است که از مخفیگاه premaster به طور مستقیم استفاده می شود.

MitM می بیند که درخواستی را به store.example.com کرده اید. آنها نمی توانند درخواست را ببینند ، اما می توانند مشاهده کنند که این store.example.com (به دلیل آدرس IP یا به دلیل SNI) است. آنها نمی توانند هیچ یک از ارتباطات رمزگشایی شده را ببینند ، اما می توانند ترافیک رمزگذاری شده را ببینند. فقط برای تفریح ​​از این طریق ، آنها تمام ترافیک رمزگذاری شده ای را که به سرور برای شما ارسال کرده اند ، می گیرند و دوباره آن را 10 بار ارسال می کنند.

اکنون کارت شما 10 بار دیگر شارژ می شود و چند روز بعد با 11 ابزارک تمام می شوید. به جای 1.