Привет, всем! Есть вопрос про ssl-pinning. Есть так же несколько

Question

Android Developers

Andrew

Привет, всем! Есть вопрос про ssl-pinning. Есть так же несколько

версий приложения в проде. Как быть, когда потухнет сертификат? Как вы решаете такой кейс?

#android #mobile #programming #russian

0

21.08.2021

9 ответов

31 просмотр

Andrew Автор вопроса

Проблема, что клиенты не любят обновляться, да и само обновление сертификата на сервере может выйти боком

0

21.08.2021

Andrey

Ну насчет любят не любят, либо обновляются либо сидят с неработающим приложением По поводу сервера - а он тут вообще причем? Сертификаты клиента и сервера обновляются независимо друг от друга, если пинниг грамотно сделан, конечно

0

21.08.2021

Andrew Автор вопроса

А разве сертификат не с сервака в приложение зашивается, тот, который на доменное имя выдаётся?

0

21.08.2021

Andrey

А, все, вспомнил как делал я, корневым сертификатом подписывал родительский сертификат на 10 лет для бэка, им подписывал сертификаты уже для конкретных серваков (dev qa prod и т.п.) на год, и в клиент на андроид зашивал родительский сертификат (на 10 лет который). Соответственно если сертификат закончится или его просто надо будет перевыпустить (ключ с сервака утечет например), его можно перевыпустить без проблем, и клиент обновлять не нужно Ключ от родительского сертификата держим вместе с рутовым в отдельном хранилище без доступа к сети

0

21.08.2021

Andrew Автор вопроса

Благодарю. Другой вопрос, если mitm сгенерирует с той же цепочкой в том же уц сертификат на любой другой домен. Или такой сценарий невозможен?

0

22.08.2021

Andrey

Ну, допустим, сгенерирует. И что он будет с ним делать? Подменит на одном из серверов? Так если у него есть доступ на сервер, ему выпускать сертификат и не нужно, он просто выдернет приватный ключ и будет им пользоваться. Ладно, согласен, с цепочкой появляется еще сценарий с прокси и подменой dns запросов (да и наверняка еще много других сценариев), но в общем случае это очень маловероятно, тут надо смотреть конкретную модель угроз и действовать исходя из нее, если все настолько серьезно)

0

22.08.2021

Сергей П.

Это могут профессионально в android_guards растолковать еще

0

22.08.2021

Andrew Автор вопроса

Благодарю

0

22.08.2021