Capacitor应用的SSL固定

SSL Pinning 可以保护您的应用程序免受安全威胁，如中间人攻击 (MITM) 攻击，通过在应用程序中直接验证服务器证书来实现。 如果没有它，攻击者就可以拦截敏感数据或操纵通信。以下是为什么它很重要以及如何有效实施它的原因：

为什么 SSL Pinning 是重要的：

• 防止 MITM 攻击： 阻止 API 调用被拦截。
• 加强安全性： 验证服务器证书以知名值。
• 符合 App Store 要求： 帮助遵守苹果和谷歌安全标准。
• 建立用户信任： __CAPGO_KEEP_0__

__CAPGO_KEEP_1__

1. __CAPGO_KEEP_2__ __CAPGO_KEEP_3__
2. __CAPGO_KEEP_4__ __CAPGO_KEEP_5__
3. __CAPGO_KEEP_6__
   • __CAPGO_KEEP_7__ __CAPGO_KEEP_8__ network_security_config.xml __CAPGO_KEEP_9__
   • __CAPGO_KEEP_10__ __CAPGO_KEEP_11__ Info.plist and validate certificates during runtime.
4. Test Your Setup: Simulate attacks using tools like Charles Proxy to verify security.
5. Manage Certificates: Regularly update certificates and include backups to avoid downtime.

Quick Comparison: Android vs. iOS SSL Pinning

小贴士： 使用工具如 Capgo 确保平滑、安全的过渡,无需重建应用程序。这有助于避免服务中断并保持与应用商店指南的兼容性。

任何应用程序都必须具备的安全措施是 Capacitor 应用程序以安全的方式保护API通信并保护用户数据。今天就开始实施以增强应用程序的安全性。

TLS/SSL证书固定解释

设置要求

在您的 Capacitor 应用程序中配置SSL固定需要谨慎的规划和精确的设置。以下是您需要了解的有关有效实施证书固定设置的信息。

选择合适的SSL固定插件

第一个步骤是选择一个兼容iOS和Android同时提供强安全功能的插件。对于Capacitor应用程序, @capgo/capacitor-ssl-绑定 为CapacitorHttp在iOS和Android上绑定HTTPS连接的证书。比较插件时，请考虑以下因素：

• 平台兼容性: 确保插件在iOS和Android设备上正常工作。
• 证书管理: 选择一个简化证书管理过程的插件。
• 易于更新: 寻找允许在不需要重建整个应用程序的情况下更新证书的插件。
• 性能考虑: 评估插件如何影响应用程序的速度和响应性。

配置您的 Capacitor App

选择插件后，下一步是配置你的Capacitor应用程序以启用SSL固定。以下是配置的示例：

// Example: capacitor.config.ts
{
  appId: 'com.example.app',
  plugins: {
    SSLPinning: {
      certs: ['cert1', 'cert2'],
      validateCertificates: true,
      allowBackup: false
    }
  }
}

在推出这些更改之前，建议逐步进行以确保用户的平滑过渡。设置了通用配置后，移动到Android和iOS的平台特定调整以完成实现。

平台特定设置

设置SSL固定需要为Android和iOS配置特定的设置以有效防止中间人攻击。

Android实现

在Android上，SSL固定涉及设置网络安全配置和管理证书。以下是如何做到的：

• 创建网络安全配置

  首先，在你的Android项目的 network_security_config.xml 目录中创建一个名为 res/xml 的文件：

  <?xml version="1.0" encoding="utf-8"?>
  <network-security-config>
      <domain-config>
          <domain includeSubdomains="true">api.example.com</domain>
          <pin-set>
              <pin digest="SHA-256">your_certificate_hash</pin>
              <!-- Backup pin -->
              <pin digest="SHA-256">backup_certificate_hash</pin>
          </pin-set>
      </domain-config>
  </network-security-config>

• 更新 AndroidManifest.xml 文件

  在你的 AndroidManifest.xml 文件中引用新创建的网络安全配置：

  <application
      android:networkSecurityConfig="@xml/network_security_config"
      ...>

• 添加证书文件

  将所需的证书文件（.cer 或 .pem)存储在你的 Android 项目的 res/raw 目录中。

iOS 实现

对于 iOS，SSL pinning 是通过修改 App Transport Security（ATS）设置和实现运行时证书验证来配置的。请遵循以下步骤：

• 设置 Info.plist 中的 ATS

  在你的应用的 Info.plist file:

  <key>NSAppTransportSecurity</key>
  <dict>
      <key>NSAllowsArbitraryLoads</key>
      <false/>
      <key>NSExceptionDomains</key>
      <dict>
          <key>api.example.com</key>
          <dict>
              <key>NSIncludesSubdomains</key>
              <true/>
              <key>NSPinnedDomains</key>
              <true/>
          </dict>
      </dict>
  </dict>

• 初始化 SSL Pinning in Code

  使用以下 code Snippet 来启用 SSL Pinning during app 初始化：

  import { HTTP } from '@ionic-native/http/ngx';
  
  export class AppComponent {
    constructor(private http: HTTP) {
      this.initializeSSLPinning();
    }
  
    async initializeSSLPinning() {
      try {
        await this.http.setSSLCertMode('pinned');
        console.log('SSL Pinning initialized successfully');
      } catch (error) {
        console.error('SSL Pinning initialization failed:', error);
      }
    }
  }

Android 和 iOS 实现的比较

以下是 Android 和 iOS SSL Pinning 的快速比较：

接下来，我们将深入探讨测试策略和常见错误，以帮助您确保您的SSL固定设置是可靠和安全的。

测试和修复

测试您的SSL固定设置至关重要，以防止中间人攻击（MITM）。以下是确保您的实现是安全的以及排查常见问题的方法。

中间人攻击测试

您可以使用代理工具，如Charles Proxy来模拟中间人攻击并验证您的SSL固定设置。

Charles Proxy测试

按照以下步骤测试 Charles 代理:

1. 在设备上安装 Charles 根证书。
2. 在 Charles 设置中启用 SSL 代理。
3. 将您的 API 域添加到 SSL 代理列表中。
4. 配置设备将流量路由到 Charles 代理。

如果您的 SSL pinning 正确实现，应该在应用程序日志中看到证书验证错误。

网络配置测试

使用以下 code snipset 验证使用固定证书的连接:

// Validate pinned certificate connection
try {
    const response = await Http.get({
        url: 'https://api.example.com/test',
        headers: { 'Content-Type': 'application/json' }
    });
    console.log('Connection successful');
} catch (error) {
    console.error('Certificate validation failed:', error);
}

常见错误解决方案

以下是常见的 SSL pinning 问题及其解决方案:

验证证书哈希

为了确保证书哈希与您的配置匹配，请使用以下 OpenSSL 命令：

# Generate the correct certificate hash
openssl x509 -in certificate.pem -pubkey -noout | \
openssl rsa -pubin -outform der | \
openssl dgst -sha256 -binary | base64

在解决任何错误后，请确保您的证书更新过程正常工作。

证书更新测试

在您的配置中同时包含主证书和备份证书，以防止更新期间服务中断。

更新测试流程

以下是一个测试证书轮换的示例：

// Rotate certificates
const certificates = {
    current: 'sha256/current_certificate_hash',
    backup: 'sha256/backup_certificate_hash'
};

// Test both certificates
async function validateCertificates() {
    try {
        await testConnection(certificates.current);
        console.log('Primary certificate valid');
    } catch {
        try {
            await testConnection(certificates.backup);
            console.log('Backup certificate valid');
        } catch {
            console.error('All certificates invalid');
        }
    }
}

监控证书过期

定期检查证书过期时间以避免中断：

# Check certificate expiration date
openssl x509 -enddate -noout -in certificate.pem

最后，在稳定 WiFi、移动数据、离线场景和网络转换等各种条件下测试您的设置，以确保安全性和功能的健全性。

SSL Pinning Management

SSL Pinning 设置完成后，下一步是管理证书和密钥固定以维持长期的强安全性。

证书固定 vs. 密钥固定

SSL Pinning 时，主要有两种方法：证书固定和公钥固定。每种方法都有其优势，尤其是针对 Capacitor 应用:

本次分解可以帮助您决定哪种方法与您的应用程序的长期维护策略最为匹配。

简化证书更新

更新证书对于确保API通信的安全至关重要。Capgo通过自动化这些更新，消除了需要重新提交应用商店的需求，提供了一个流程化的解决方案。

• 快速采用率:更新经过阶段、跟踪并在24小时内实现95%的采用率 [1].
• 加密传输:更新全程加密
• 实时监控:分析提供了更新成功的见解

如何实施

• 设置自动更新
  将Capgo的CI/CD管道与证书更新集成起来，自动处理证书更新。Capgo的计划从每月12美元开始，包括OTA更新和约15个本地构建/月。额外的构建分钟通过信用额度按分钟计费。

• 跟踪证书指标
  使用 Capgo 的分析仪表板来监控关键指标，如全球更新成功率，目前为 82% [1].

这些措施有助于保护您的应用程序免受潜在的 MITM (中间人攻击) 攻击

App Store 安全指南

苹果 App Store 和 Google Play Store 都对 SSL pinning 的安全要求非常严格。以下是他们的期望概述：

苹果 App Store：

• 必须使用端到端加密更新证书
• 证书的正确验证是必需的
• 在审查过程中需要提供安全文档

Google Play Store：

• 必须使用批准的机制进行更新
• 证书管理的透明度至关重要
• 必须设置回退机制

Capgo的解决方案符合所有这些要求，同时启用即时更新 [1].为了实现强大的安全策略，考虑将传统的应用商店更新与通过Capgo进行的实时更新结合起来。这一混合策略确保您的应用始终保持安全和合规，而无需延迟

结论

为了保护您的Capacitor应用免受中间人攻击，实施SSL固定是必不可少的。通过将信任的证书数据直接嵌入到您的应用中，您可以显著增强您的API通信的安全性

为了成功实施，务必牢记以下关键方面：

• 证书管理： 确保定期更新和监控证书以防止潜在的服务中断
• 开发工作流： 在测试环境中实现绕过机制，同时确保生产构建中严格的安全协议
• 平台指南： 遵守苹果App Store和Google Play Store的安全要求，以确保合规

SSL固定在保护用户数据和维护应用完整性方面起着至关重要的作用。当与前面讨论的更广泛的安全措施结合时，它有助于创建一个更安全的应用环境

常见问题

::: faq

如果在Capacitor应用中不使用SSL固定，请问会出现什么风险?

如果在Capacitor应用中没有设置SSL固定，应用程序就变成了中间人攻击的目标 中间人攻击（Man-in-the-Middle, MITM）这些攻击允许恶意用户拦截和篡改应用程序与其服务器之间的数据流。这可能导致敏感信息，如用户凭据或__CAPGO_KEEP_0__密钥的泄露 API keys.

:::

::: faq

在Capacitor应用中实施和维护SSL固定与Android和iOS的主要区别是什么?

SSL固定在Android和iOS上工作方式略有不同，这是由于它们独特的API和安全设置

在 Android,开发者通常依赖于网络库，如OkHttp或使用native设置来设置SSL固定钉。然而，当时更新固定证书时，通常意味着发布新的应用程序版本。

On iOS,SSL固定钉通常通过URLSession或第三方库来处理。与Android一样，任何证书更新都需要小心管理，以确保API通信不中断。

Both platforms demand ongoing attention to certificate expiration and updates to keep API connections secure. Regular testing is essential to catch compatibility issues early and to guard against 两种平台都需要持续关注证书过期和更新，以确保__CAPGO_KEEP_0__连接安全。定期测试至关重要，以早期捕捉兼容性问题并防止 中间人攻击（MITM）

。 :::

How can I automate SSL certificate updates and ensure my Capacitor app complies with app store security requirements?

如何自动更新SSL证书并确保__CAPGO_KEEP_0__应用程序符合应用商店安全要求? 虽然该文章没有深入探讨自动化SSL证书更新或确保遵守应用商店安全指南的工具或策略，但您可以采取步骤来提高应用程序的安全性。一个有效的措施是实施 在您的Capacitor应用中。这有助于保护您的应用免受 中间人攻击（MITM），这可能会损害敏感数据。

对于管理实时更新和简化应用维护，平台如 Capgo 可以成为游戏的改变者。它们使开发者和用户都能更轻松地推出更新，同时保持在应用商店的规定，确保更流畅的体验。

继续SSL Pinning for Capacitor Apps

如果您正在使用 SSL Pinning for Capacitor Apps 来规划安全性和合规性，连接它与 加密 以实现加密的详细信息 Compliance for the implementation detail in Compliance, Capgo 安全扫描器 for the product workflow in Capgo Security Scanner, Capgo 安全 for the product workflow in Capgo Security, and Capgo 信任中心 for the product workflow in Capgo Trust Center.