android - 带有证书固定的 OkHttp

Question

我的 Android 项目 (OkHttp 3.3.1) 目前使用我的 HTTPS 网络服务(我的 PC、IIS 网络服务器、Asp.Net Web API、自签名证书)

辅助方法:

private SSLSocketFactory getSSLSocketFactory()
        throws CertificateException, KeyStoreException, IOException,
        NoSuchAlgorithmException, KeyManagementException {
    CertificateFactory cf = CertificateFactory.getInstance("X.509");
    InputStream caInput = getResources().openRawResource(R.raw.iis_cert);
    Certificate ca = cf.generateCertificate(caInput);
    caInput.close();
    KeyStore keyStore = KeyStore.getInstance("BKS");
    keyStore.load(null, null);
    keyStore.setCertificateEntry("ca", ca);
    String tmfAlgorithm = TrustManagerFactory.getDefaultAlgorithm();
    TrustManagerFactory tmf = TrustManagerFactory.getInstance(tmfAlgorithm);
    tmf.init(keyStore);
    SSLContext sslContext = SSLContext.getInstance("TLS");
    sslContext.init(null, tmf.getTrustManagers(), null);
    return sslContext.getSocketFactory();
}

private HostnameVerifier getHostnameVerifier() {
    return new HostnameVerifier() {
        @Override
        public boolean verify(String hostname, SSLSession session) {            
            HostnameVerifier hv = HttpsURLConnection.getDefaultHostnameVerifier();
            return hv.verify("BNK-PC.LOCALHOST.COM", session);
        }
    };
}

代码A:

OkHttpClient client = new OkHttpClient.Builder()
        .sslSocketFactory(getSSLSocketFactory())
        .hostnameVerifier(getHostnameVerifier())
        .build();

看完this CertificatePinner guide ，我的项目在添加 .certificatePinner(certificatePinner) 时也能正常工作，如下所示:

代码 B:

OkHttpClient client = new OkHttpClient.Builder()
        .sslSocketFactory(getSSLSocketFactory())
        .certificatePinner(certificatePinner)
        .hostnameVerifier(getHostnameVerifier())
        .build();

根据 this Wiki , 证书固定提高了安全性。

但是，其实我并没有很清楚地理解这个想法。所以我的问题是，当我的应用程序仍然使用 Code A 时，我是否需要或必须使用 certificatePinner。换句话说，代码 B 是否比 代码 A 具有更好的安全性？

Answer 1

证书固定应该有助于某些类别的攻击

1. 任何受信任的证书颁发机构遭到黑客攻击并为您的域生成有效证书，例如 MITM 攻击由侵略性政府。
2. 您的应用在具有额外可信证书的设备上运行，例如由提供电话的公司安装。

我认为一般来说，如果您从两个主要 CA 颁发证书，例如verisign，你会固定到他们的签名证书而不是你自己的。这是因为您可能会例行公事地为您的服务器生成新证书。