證書鎖定 - 當流氓開發者獲得Android中的證書文件時會發生什麼

Question

在使用證書鎖定開發中，說的是沒有任何第三方會信任https證書，而是將其存儲在設備上。如果我逆向工程Android apk，我是否無法訪問此證書？我意識到它的公開，但我可以用它來做中間攻擊的人，對嗎？我應該在哪裏放置證書，以便沒有人可以訪問它？我有位於android資源文件夾中的* .cer證書文件，但需要知道它將如何安全。

Answer 1

該證書不是祕密的，所以不要擔心某人逆向工程證書。要鎖定證書，只需將您的服務器證書嵌入您的應用。然後在運行時，當服務器向您發送證書時，將其與您嵌入的證書進行比較以確保它們相同。在中增加以完成所有通常的SSL/TLS驗證。