ios - SSL 在 iOS 上固定签名证书

Question

您听到很多关于如何使用 SSL 固定来提高应用程序安全性的信息。我一直假设 SSL 固定只有在您使用自签名证书时才有用。使用由证书颁发机构签署的证书时，SSL 固定是否有好处，或者 CA 是否不需要这样做？

Answer 1

SSL/TLS 存在一些问题，而这些问题的根源是 CA 系统。默认情况下，您的浏览器信任一堆 CA。除了主机名等一些基本检查之外，SSL 的真正威力来自于通过中介机构对证书的验证，直到您获得您信任的证书。

证书固定指定您将只信任给定网站的给定证书。也就是说，如果您收到由不同 CA 签署的“有效”证书(即使您信任该 CA)，您也不会信任该站点。

简而言之，CA 已签署证书这一事实并不会减少对证书固定的需求。

例如:公司有时会拦截 SSL。为此，他们实际上为客户端提供了一个不同的 SSL 证书，该证书对客户端尝试访问的主机有效。因为他们可以将任何证书插入受信任的根目录(Windows 通过 GPO)，所以他们可以插入他们的证书而不是主机颁发的实际证书。在这种情况下，SSL 拦截对用户是透明的。他们仍然获得由他们信任的 CA 签名的“有效”证书(无论他们是否知道)。如果您一直在使用证书固定，新证书将被拒绝。

证书固定有缺点，主要是证书过期时的管理等。

参见 this link了解更多信息。