在Android和iOS中鎖定證書

Question

當我們在我們的應用中導入SSL證書時，對於證書鎖定，我們必須在證書更新時每年更新apk/ipa。

我們可以克服這個！

參考文獻：https://infinum.co/the-capsized-eight/articles/securing-mobile-banking-on-android-with-ssl-certificate-pinning

缺點缺乏靈活性 - 當你做SSL證書釘扎， 改變SSL證書不是那麼容易。對於每個SSL 證書更改，您必須對應用進行更新，將其推送到Google Play的 ，並希望用戶將其安裝。

請指導克服這一點。

Answer 1

看一看這篇文章有關證書釘扎和公共密鑰固定：https://www.owasp.org/index.php/Certificate_and_Public_Key_Pinning

一個重要的問題是要固定的東西。如果您不想在每次證書更改時發佈新版本，您還可以鍵入證書的公鑰，因爲您在續訂證書時可以保留相同的公鑰，所以應用程序仍然可以使用新證書。

另一種選擇不是將您的服務器證書連接到CA的中間證書或根證書。中間證書通常有效期較長。

Answer 2

有沒有辦法解決這個問題，但你可以讓這個痛苦少：

• 如果您固定錨證書（中CA），該證書是不會經常（改變每5或10年份）。
• 優於固定證書本身，您應該將密鑰固定在重新頒發證書時不會更改的證書中。
• 大多數固定庫（例如我工作的庫：https://github.com/datatheorem/TrustKit）可讓您指定固定策略的到期日期，以便萬一您忘記更新IPA/APK時，該應用程序仍然適用於您的用戶（但禁用鎖定，這仍然相對安全）。