Certificate pinning

Приложение принимает не любой подходящий сертификат доверенного центра, а только заранее согласованный вариант. Но после замены ключа старое приложение может перестать подключаться — даже если новый сертификат полностью корректен.

Pinning рассматривают лишь при обоснованной модели угроз и контроле над клиентом, сервером и обновлением набора pins. Это не универсальная рекомендация для каждого приложения. Нужны резервный вариант, безопасная доставка обновления и план замены ключей без отказа обслуживания.

Управляемое мобильное приложение закрепляет открытый ключ своего API. До плановой замены серверного ключа команда доставляет обновлённый набор разрешённых значений и испытывает старые версии клиентов. Автоматический обход проверки при ошибке не вводят: он разрушил бы ожидаемую защиту.

• Проверка цепочки TLSПодтверждает доверие к сертификату по правилам PKI; pinning вводит дополнительное ограничение.
• Самоподписанный сертификатСпособ подписания сертификата, а не механизм закрепления доверенного значения в клиенте.
• Хеш сертификатаМожет быть значением pin, но вычисление хеша без безопасной политики доверия ничего не закрепляет.

1. Обосновать необходимостьСопоставляют дополнительную защиту с рисками простоя и управляемостью клиентов.
2. Выбрать закрепляемое значениеОпределяют сертификат или ключ, область доверия и резервный pin.
3. Выполнить сравнениеКлиент проверяет TLS и сопоставляет предъявленное значение с разрешённым набором.
4. Управлять заменойОбновляют pins заранее и тестируют переход при смене ключей и сертификатов.

• Сертификат открытого ключа
• Самоподписанный сертификат
• Криптографическая хеш-функция