如果安装了未知来源的根证书，xray能否保护https流量不被解密呢？

[lhbdhr]

主要windows很多软件安装时，都会要求管理员权限，一但允许，就有权限在你系统里随便乱搞了。
我感觉这危害一点儿也不比 plain http 小，因为一般软件安装时要求管理员太正常了，很多人都会直接同意。

我今天看了下我的受信任的根证书颁发机构，看到好几个软件都有安装成根证书，所有有此一问。
比如 AutoHotkey，bypass（12306那个抢票软件），还有一些游戏（EA game）什么的。

如果你的电脑上被国产软件安装了根证书，再加上ISP MITM，是不是https就被解密了？
xray 服务端和客户端的通信是肯定能解密的，关键是内层的tls，会不会被解密。

我还问了AI，端到端加密（E2EE）和 固定证书（Certificate Pinning）能解决这个问题，不知道xray目前有在用这些技术吗？

[RPRX]

REALITY 的含金量还在逐步上升

且证书链攻击无效，安全性超越常规 TLS

[lhbdhr]

我后来想到，如果ISP真的这么搞，那没装未知来源根证书的设备就能发现证书被伪造了。
后来一想，如果只对目的地址是国外的IP搞MITM，甚至只对搬瓦工DMIT等IP搞。
那样的话，岂不是流量都给解密了。而且你还发现不了。
我菜鸡程序员，不太懂网络。R佬给解释下，到底能不能解析内层的TLS。
如果能，那岂不是你的逆天发言，墙全知道了。

[RPRX]

你要 MITM 攻击内层 TLS 的前提是你能接触到内层 TLS 握手，而外面有一层加密比如 REALITY 时，GFW 接触不到内层 TLS 握手