security - 保护移动应用程序免受中间人攻击

Question

我们正在开发一款移动应用程序，它通过基于 SSL 的 REST API 与后端通信。移动设备对 API 调用执行证书验证(使用移动框架中的标准库)。如果我们尝试通过代理(例如 Charles)连接移动设备，我们会看到所有流量，但它是加密的 - 正如预期的那样。但是，如果我启用 SSL 代理、生成根证书并将该证书安装到我的设备上，我将再次通过 Charles 以明文形式看到所有数据，正如预期的那样。

问题是，如何防止这种情况发生？当然，主要目标是仅当设备调用允许服务器且具有该服务器的有效证书时才公开数据。

Answer 1

如果攻击者对设备具有该级别的访问权限，那么防止此类事件发生的唯一方法是使用 SSL 拇指打印。您将启动与服务器的连接。检索 SSL 证书并将其与应用代码中的硬编码值进行比较。如果这不匹配，则中止连接并且不发送数据。

然而，这个问题是 SSL 更新时的开销。您需要发布具有新指纹值的应用程序更新。这也会阻止人们使用该应用程序，直到他们更新到最新版本。