security - 无需购买 SSL 证书即可从 PhoneGap 安全连接到服务器

Question

我想建立一个安全连接，以便从 PhoneGap 应用程序中的数据(需要登录)获取数据。有什么方法可以在不购买 ssl 证书的情况下做到这一点吗？

我可以使用自签名证书并将证书(或其指纹)添加到 PhoneGap 应用程序，以便它始终检查证书是否正确并且不会发生中间人攻击吗？

Answer 1

Is there some way to do this without buying an ssl certificate?

是的。

akirilov 给了你一个答案。

您的另一个选择是使用 Startcom .他们提供免费的 1 类证书。他们的证书颁发机构安装在大多数桌面和移动平台上。

使用 CA Zoo 的坏处是只有一个 CA 认证了您的证书(无论是 Startcom、Verisidn 等)。但是，动物园中的任何 CA 都可以声称是证书颁发机构。因此，欺骗 CA 或破坏 CA 的坏人将能够为您的服务器获取证书。我们在过去看到过这两种情况。

您可以使用证书固定来避免 CA Zoo。参见 OWASP 的 Certificate and Public Key Pinning .

---

Could I use a self signed certificate and add the certificate (or its fingerprint) to the PhoneGap application, so that it can always check that the certificate is correct and no man in the middle attack takes place?

是的，那也很好。您的 Phone Gap 应用程序需要执行证书验证，并接受您的自签名证书。

要在 .Net、Java、iOS 等中执行类似操作，您需要固定服务器的证书，因为您事先知道它是什么。不过，我不知道如何在 PhoneGap 中执行此操作。

有关在 .Net、Java、iOS 等中固定的信息，请参阅 OWASP 的 Certificate and Public Key Pinning .有适用于主要平台(包括 OpenSSL)的示例代码。