SSL 固定（SSL Pinning）是一种提高应用程序安全性的技术，用于防止中间人攻击（MITM，Man-in-the-Middle attacks）和证书伪造攻击。它通过将服务器的 SSL/TLS 证书或其公钥“固定”到客户端应用程序中，确保客户端在与服务器通信时只信任特定的证书或公钥，从而降低了遭遇伪造证书或中间人攻击的风险。
1. SSL 固定的工作原理
SSL 固定的核心思想是：将特定的 SSL/TLS 证书（或公钥）嵌入到客户端应用程序中，这样客户端就会只与拥有该证书的服务器建立安全连接。这样，即便攻击者通过伪造证书或使用未受信任的证书，也无法成功建立加密通道。
具体步骤如下：
- 客户端首次与服务器建立连接时，服务器会向客户端发送其 SSL 证书。
- 客户端在该过程中的某个时刻会“固定”该证书或公钥，保存在本地（例如，存储在应用程序的配置文件中或硬编码在代码里）。
- 在后续的连接中，客户端会检查服务器提供的证书或公钥是否与事先存储的匹配。如果匹配，则允许建立连接；如果不匹配，客户端将拒绝连接，防止中间人攻击。
2. SSL 固定的类型
-
证书固定（Certificate Pinning）：客户端将服务器的完整证书（包括证书链中的所有中间证书）嵌入应用程序中。当建立连接时，客户端会验证服务器提供的证书与已固定的证书是否一致。
-
公钥固定（Public Key Pinning）：与证书固定类似，但客户端将服务器的公钥而不是完整的证书固定到应用程序中。由于公钥通常不会改变，即使服务器更换了证书，只要公钥不变，连接依然有效。
3. SSL 固定的优势
- 防止中间人攻击（MITM）：即使攻击者通过伪造证书或使用未受信任的证书来截获流量，SSL 固定仍然能够确保客户端只与可信的服务器建立连接。
- 防止证书滥用：在一些情况下，证书的颁发机构可能会不小心将某些证书颁发给恶意方，或者证书管理中存在漏洞。通过 SSL 固定，即便存在这些问题，攻击者也无法轻易篡改通信。
- 增强的信任性：通过强制使用特定证书或公钥，提升了客户端对与之通信的服务器的信任度，减少了第三方攻击的可能性。
4. SSL 固定的缺点与挑战
-
证书或公钥更换的困难：如果服务器的证书或公钥发生变化，客户端需要进行更新。否则，客户端将无法连接到服务器。这意味着在证书过期、更新或更换时，客户端必须及时更新固定的证书或公钥，否则会出现连接失败的情况。
-
部署复杂度：SSL 固定通常需要在客户端应用程序中硬编码证书或公钥，这增加了部署和维护的复杂性，特别是在大规模应用中。
-
更新问题：如果客户端的固定证书在某些原因下发生过期或变化，且客户端未能及时更新，就可能导致应用程序无法与服务器建立连接，影响用户体验。
5. SSL 固定的实现
在移动应用程序和桌面应用中，SSL 固定通常在以下两种方式中实现：
-
在代码中硬编码证书或公钥：将证书或公钥以字符串的形式嵌入代码中，并在连接时进行验证。
-
使用库支持：很多现代开发框架或库都提供了 SSL 固定的支持。例如，Android、iOS、以及某些 Java 和 .NET 库提供了内建的功能，允许开发者指定必须信任的证书或公钥。
例如，在 Android 应用中，开发者可以使用 OkHttp 库来实现证书固定，通过配置自定义的 TrustManager 来验证服务器证书；在 iOS 应用中，可以使用 NSURLSession 来实现类似的功能。
6. 如何管理 SSL 固定
为了避免 SSL 固定带来的问题，可以采取一些管理策略：
- 灵活更新：可以通过某种方式使得固定的证书或公钥可以随时更新，例如将证书或公钥存储在远程服务器上，并通过应用定期更新。
- 使用过渡期策略：在切换证书时，支持过渡期，让客户端和服务器都能兼容多个证书。
- 测试与监控：严格测试 SSL 固定实现，确保证书过期和更新时不会影响应用的正常运行。同时，需要定期监控证书的状态，确保更新及时。
7. SSL Pinning 的应用场景
- 移动应用安全：许多移动应用，尤其是金融类、支付类、社交类等高安全要求的应用，都广泛使用 SSL 固定来防止中间人攻击。
- IoT（物联网）设备：对于需要与云服务进行安全通信的 IoT 设备，SSL 固定可以确保设备只与信任的服务器建立连接，避免设备与恶意服务器通信。
- Web 服务和 API 安全：一些关键的 Web 应用和 API 服务也可能使用 SSL 固定来加强与客户端的安全通信，防止第三方伪造身份。
SSL 固定是一种强有力的安全机制，用于确保客户端与服务器之间的安全通信不被中间人攻击所破坏。它通过硬编码证书或公钥来减少中间人攻击的风险，从而增强应用程序的安全性。然而，由于证书和公钥的更新需要额外的管理措施，因此在使用时需要权衡其复杂性与安全性。
标签：证书,或公钥,SSL,固定,服务器,客户端 From： https://www.cnblogs.com/suv789/p/18531872