iOS에서 서명 된 인증서를 고정하는 SSL

Question

SSL 피닝을 사용하여 앱의 보안을 강화하는 방법에 대해 많이 알게되었습니다. 나는 항상 SSL 핀 고정이 자체 서명 된 인증서를 사용하는 경우에만 유용하다는 가정하에있었습니다. 인증 기관이 서명 한 인증서를 사용할 때 SSL 피닝의 이점이 있습니까? 아니면 CA가 불필요하다고 생각합니까?

Answer 1

SSL/TLS에는 몇 가지 문제가 있으며 이러한 문제의 근본 원인은 CA 시스템입니다. 기본적으로 브라우저는 여러 개의 CA를 신뢰합니다. 호스트 이름과 같은 몇 가지 기본 검사 이외에 SSL의 진정한 힘은 신뢰할 수있는 인증서를 얻을 때까지 중개자를 통한 인증서 확인에서 비롯됩니다.

인증서 고정은 지정된 웹 사이트에 대해서만 특정 인증서를 신뢰하도록 지정합니다. 즉, 다른 CA가 서명 한 "유효한"인증서를받은 경우 (해당 CA를 신뢰할지라도)이 사이트에 대해이를 신뢰하지 않을 것입니다.

요약하면 CA가 인증서에 서명 한 사실로 인해 인증서 고정이 필요하지 않습니다.

예 : 회사에서 SSL을 가로채는 경우가 있습니다. 이렇게하기 위해 실제로 클라이언트는 클라이언트가 액세스하려고하는 호스트에 유효한 다른 SSL 인증서를 클라이언트에 제공합니다. 모든 인증서를 신뢰할 수있는 루트 (GPO를 통해 창)에 삽입 할 수 있으므로 호스트에서 발급 한 실제 인증서 대신 인증서를 삽입 할 수 있습니다. 이 시나리오에서 SSL 차단은 사용자에게 투명합니다. 그들은 여전히 ​​신뢰하는 CA가 서명 한 "유효한"인증서를 발급 받고 있습니다 (알고 있는지 여부는 관계 없음). 인증서 고정을 사용했다면 새 인증서가 거부됩니다. 만료로

는

더 많은 정보를 원하시면 this link를 참조 등 대부분 인증서의 관리 중심으로, 인증서 피닝에 단점이 있습니다.