java - HTTPS 与 SSL 固定

Question

我想知道常规 SSL 协议(protocol)与 SSL pining 有何不同。通过设置 https，我们可以使用 SSL 加密请求。中间人攻击将无法看到原始负载。我也知道 SSL pinning 是另一种防止中间人攻击的方法。但我的问题是，如果代理总是只能在 https 协议(protocol)下看到加密数据，为什么我们仍然需要在客户端捆绑证书并进行 SSL 固定？ SSL pining 能给我们带来什么优势？

Answer 1

证书固定意味着客户端拥有服务器的“内置”证书，并且不使用您计算机的受信任存储区。这意味着即使您的 IT 部门安装了他们自己的根证书，也不会被使用。

一个特别聪明的 IT 部门可以在您的计算机上安装他们的根证书，使用像 Charles 这样的代理来即时创建伪造的站点证书，并即时重写您下载的程序，替换固定的证书，但大多数都不是足够复杂，可以完成最后一步。

而且您可能也可以从家里下载软件，在这种情况下，固定证书没问题，而且 IT 永远不会看到传输中的内容。