SSL pinning 是一种方法来保护移动应用程序免受中间人攻击（MITM）攻击的风险，通过确保应用程序只连接到信任的服务器。它通过将证书或公钥嵌入应用程序并阻止连接，如果它们不匹配服务器的证书。以下是您需要了解的内容：
- 为什么它很重要: 保护敏感数据，如金融交易和登录凭证免受截取。
- 实现的顶级工具:
- 实现类型:
- 证书固定: 高安全性，但需要证书更改时进行更新。
- 公钥固定: 需要的维护较少，只需更新密钥时。
- 混合方法: 结合固定和动态方法以实现灵活性。
快速比较
| 工具 | 平台 | 证书管理 | 备份 PIN 支持 |
|---|---|---|---|
| TrustKit | iOS 和 Android | 自动 | 是 |
| OkHttp | Android | 手动 | 是 |
| Capacitor 插件 | Capacitor 应用 | 原生配置文件 | 是 |
SSL pinning 对于安全的应用程序通信至关重要。 选择合适的工具取决于您的平台和维护需求。
SSL Pinning 说明
SSL Pinning 工具和库
让我们深入一些顶级 SSL pinning 解决方案，专门针对原生和 Capacitor 应用程序。
iOS 和 Android 库
TrustKit 是一个强大的库，支持 iOS 和 Android 平台上的 SSL pinning [2]它提供了针对运行 Android N 和更高版本的设备的本机实现，同时也提供了针对旧版本的自定义解决方案 [2].
OkHttp另一方面，Capgo在Android设备上，包括Android 7以下版本的设备，用于SSL固定是很受欢迎的选择 [4].
| 功能 | TrustKit | OkHttp |
|---|---|---|
| 平台支持 | iOS & Android | 仅Android |
| 版本兼容性 | 所有iOS，Android N+ | 所有Android |
| 实现类型 | 原生/自定义 | 自定义 |
| 证书管理 | 自动 | 手动 |
| 备份 PIN 支持 | 是 | 是 |
Capacitor 应用程序还具有专门设计的插件，旨在有效地处理 SSL pinning。
Capacitor 插件
对于 Capacitor 应用程序， @aalzehla/capacitor-ssl-pinning plugin 是一个值得推荐的选项。该插件通过利用 native 配置文件，如 Android 的 network_security_config.xml 和 iOS 的 Info.plist 来实现无缝集成，进行证书验证 [5].
工具比较
选择合适的 SSL pinning 工具取决于您的应用程序的安全需求以及您愿意投入的维护工作量。以下是两种常见方法的分解：
| 方面 | 证书固定 | 公钥固定 |
|---|---|---|
| 安全级别 | 高 | 非常高 |
| 存储影响 | Larger | Minimal |
| Maintenance Frequency | Every certificate renewal | Only for key changes |
| Implementation Complexity | Lower | Higher |
“SSL Pinning ensures that your app only communicates with your server using trusted certificates, enhancing the security against man-in-the-middle (MITM) attacks.” [7] - Ajmal Hasan, Software Engineer
To avoid potential lockouts, start with pinning enforcement turned off (enforcePinning="false") and enable backup pins [6]. 定期检查和更新证书以保持应用程序的安全 [3].
SSL Pinning 方法
使用多种方法实现 SSL pinning，每种方法都提供不同的安全性和可适应性水平。让我们分解一下关键方法及其独特的特征。
固定证书固定
此方法将服务器证书直接嵌入到应用程序中。虽然概念简单，但它有特定的权衡：
| 方面 | 影响 | 考虑 |
|---|---|---|
| 安全级别 | 非常高 | 确保直接验证嵌入的固定值。 |
| 维护 | 高级 | 需要 应用程序更新 每当证书发生变化时。 |
| 实现 | 中等 | 依赖本机配置文件。 |
| 用户体验 | 可变 | 证书更改可能会中断应用程序功能。 |
实时证书更新
动态钉住提供了一个更灵活的解决方案，通过启用证书更新而无需提交应用商店。这一方法依赖于关键实践：
- {"targetLanguage":"Simplified Chinese","protectedTokens":["Cloudflare","Capacitor","GitHub","Capgo","code","API","SDK","CLI","npm","bun"],"texts":["","","","","","","","","",""]}","Certificates are updated through加密通道","Each certificate undergoes严格验证before use.","Backup mechanisms are in place to handle potential failures.","Combined Pinning Strategies","A hybrid approach blends fixed and dynamic pinning, balancing robust security with operational flexibility. Here’s how it works:","Component","Purpose","Update Frequency","Base Certificates"] translations.
- ['Certificates are updated through加密通道','Each certificate undergoes严格验证before use.', 'Backup mechanisms are in place to handle potential failures.', 'Combined Pinning Strategies', 'A hybrid approach blends fixed and dynamic pinning, balancing robust security with operational flexibility. Here’s how it works:','Component','Purpose','Update Frequency','Base Certificates'] translations ['Certificates are updated through加密通道','Each certificate undergoes严格验证before use.', 'Backup mechanisms are in place to handle potential failures.', 'Combined Pinning Strategies', 'A hybrid approach blends fixed and dynamic pinning, balancing robust security with operational flexibility. Here’s how it works:','Component','Purpose','Update Frequency','Base Certificates']
- translations
['Certificates are updated through加密通道','Each certificate undergoes严格验证before use.', 'Backup mechanisms are in place to handle potential failures.', 'Combined Pinning Strategies', 'A hybrid approach blends fixed and dynamic pinning, balancing robust security with operational flexibility. Here’s how it works:','Component','Purpose','Update Frequency','Base Certificates']
translations
| ['Certificates are updated through加密通道','Each certificate undergoes严格验证before use.', 'Backup mechanisms are in place to handle potential failures.', 'Combined Pinning Strategies', 'A hybrid approach blends fixed and dynamic pinning, balancing robust security with operational flexibility. Here’s how it works:','Component','Purpose','Update Frequency','Base Certificates'] | translations | ['Certificates are updated through加密通道','Each certificate undergoes严格验证before use.', 'Backup mechanisms are in place to handle potential failures.', 'Combined Pinning Strategies', 'A hybrid approach blends fixed and dynamic pinning, balancing robust security with operational flexibility. Here’s how it works:','Component','Purpose','Update Frequency','Base Certificates'] |
|---|---|---|
| translations | 作为核心安全层 | 与应用程序更新同步。 |
| 动态更新 | 为更改提供灵活性 | 按需应用。 |
Capacitor 应用的平台特定实现
Capacitor 应用的 SSL pinning 实现取决于平台：
| 平台 | 配置文件 | 证书存储 |
|---|---|---|
| Android | network_security_config.xml | 存储在 res/raw 文件夹。 |
| iOS | Info.plist | 应用程序内置。 |
为了维护安全性，定期更新至关重要。以下部分将探讨用于测试 SSL pinning 实现的工具和方法。
SSL Pinning Tests
测试 SSL pinning 设置确保您的应用程序仅与受信任的服务器通信，保护敏感数据免受拦截。
测试工具
以下是用于验证 SSL pinning 的一些必备工具：
| 工具 | 主要功能 | 关键特性 |
|---|---|---|
| Charles Proxy | 流量检查 | 证书生成, 断点调试 |
| Burp Suite | 安全测试 | 高级拦截,自动扫描 |
| mitmproxy | HTTPS分析 | 自定义证书支持,命令行界面 |
| OpenSSL | 证书处理 | 指纹生成,验证测试 |
在这些中， mitmproxy 因其在指定证书方面的灵活性而脱颖而出 [9].
测试指南
为了确认您的SSL固定实现，请遵循以下测试步骤：
| 测试类型 | 目的 | 预期结果 |
|---|---|---|
| 中间人攻击模拟 | 验证证书验证 | 连接失败时使用无效证书 |
| 证书轮换 | Test backup certificate handling | Smooth transition to backup certificates |
| 网络监控 | 跟踪证书变更 | 成功检测并记录证书更新 |
“如果您使用工具如mitmproxy或Burp设置SSL拦截，然后将拦截代理的代理CA导入Android证书存储中作为可信任的证书，您应该可以拦截连接并访问明文。如果相反，应用程序失败并抛出关于SSL验证失败的错误，应用程序很可能正在实施SSL固定。” – Steffen Ullrich [10]
实例展示了强大的测试的重要性：2021年7月，安全研究员Tim Perry展示了如何使用 Frida 测试Android应用程序的SSL固定。他的发现表明，即使有强大的保护措施的应用程序，如Twitter，也可以使用合适的测试方法来检查其HTTPS流量。
为了进一步增强您的SSL固定实现：
- 添加运行时保护来补充固定.
- 启用根证书检测以识别被破坏的设备.
- Incorporate tamper-proofing measures.
- 监控应用程序日志以查找 SSL 握手异常 [8].
定期自动化测试并更新您的固定配置以维持安全性
在下一节中，了解如何通过集成额外安全功能来扩展这些实践的解决方案，如 Capgo。
Capgo SSL Pinning 支持
Capgo 强化 SSL pinning，注重自动化安全和无缝实时更新。 一旦通过严格测试验证了 SSL pinning，开发人员就可以依赖 Capgo 来在更新推送期间简化安全，确保速度和保护。
Capgo 功能
Capgo 集成 SSL pinning，提供强大的安全性，同时使应用程序更新即时可用。其设计确保更新保持安全而不会影响性能：
| 功能 | 好处 | 指标 |
|---|---|---|
| 端到端加密 | 确保只有授权用户才能访问更新 | 434 ms API 响应 |
| 全球 CDN 分发 | 提供安全和快速的更新传递 | 5 MB 包装的 114 ms |
| 版本控制 | 启用安全回滚功能 | 24 小时内 95% 用户更新率 |
| 实时分析 | 监控更新成功率 | 全球 82% 的成功率 |
Capgo 已经有超过 1700 个应用程序使用其平台，有效地平衡了快速更新和 SSL pinning 的完整性。
安全标准
Capgo 的安全框架满足了严格的应用商店指南，并成功管理了 1.6 万亿次更新截至 2025 年 5 月。
这是 Capgo 如何确保顶级安全性的方法:
| 安全功能 | 实施 | 好处 |
|---|---|---|
| 证书验证 | 自动验证证书 | 防止中间人攻击 |
| 更新通道系统 | __CAPGO_KEEP_0__ | 支持安全的beta测试 |
| CI/CD集成 | 部署期间自动安全检查 | 保证一致的保护 |
- 自动安全检查保证SSL固定钉在更新期间保持完整。
- 灵活的部署选项提供云托管和自托管的解决方案来满足多样化的需求。
- 实时监控跟踪更新性能和安全指标来维持可靠性。
Capgo的架构支持固定证书钉和动态证书更新，给开发者提供灵活性来选择最佳的SSL钉策略来满足苹果和安卓标准，同时保持强大的安全性。
概要
SSL pinning 在确保移动应用程序的安全通信方面起着至关重要的作用。以下是实现 SSL pinning 的关键方法、优势和见解的分解。
主要点
现代 SSL pinning 工具适用于各种平台，强调三种主要策略：
| 策略 | 核心优势 | 最佳选择 |
|---|---|---|
| 证书固定 | 简化验证过程 | 具有稳定证书设置的应用 |
| 公钥固定 | 降低维护要求 | Apps needing certificate flexibility |
| Hybrid Approach | Combines security with adaptability | Complex enterprise-level applications |
2011年荷兰Diginotar安全漏洞事件，突显了移动应用程序安全性中的弱点，并推动了SSL固定实践的进步。
“无论您选择的实现方法如何，Android证书固定是必不可少的。它是确保真正安全的网络通信的唯一手段。因此，OWASP Mobile强烈推荐证书固定作为防御中间人攻击的最有效防御手段。” - OWASP Mobile [1]
Android和iOS的实现方法不同，需要根据每个平台的安全需求来制定相应的策略。工具，如Capgo的安全更新功能，展示了如何有效地应用SSL固定，平衡强大的安全措施与smooth的部署过程。
这些见解强调了选择合适的固定策略的重要性，以确保您的应用程序安全，同时提供平滑的用户体验。
常见问题
::: faq
什么是证书固定和公钥固定之间的区别，如何选择适合您的应用程序的正确方法？
证书固定和公钥固定是用于安全SSL/TLS连接的两种方法，但它们的操作方式不同。
Certificate pinning 将您的应用程序直接绑定到一个特定的服务器证书上。 SSL握手期间，应用程序只会信任该exact证书。这一方法提供了强大的防御手段，抵御中间人攻击（MITM），但也有一定的局限性：当证书更新时，应用程序也必须更新以反映变化。
Public key pinning与之相反，public key pinning关注的是证书中的公钥。这种方法更灵活，因为同一个公钥可以在证书更新时保持一致，从而减少频繁更新的需求。然而，它并没有验证整个证书链，这可能会在受信任的证书颁发机构（CA）被破坏时造成风险。
选择这两种方法取决于您的应用程序的需求。如果您的证书更新频繁，public key pinning可以帮助您避免频繁更新。但是，如果您需要更高的安全性和更大的控制权，certificate pinning可能是更好的选择。
:::
::: faq
如何在证书更改时保持SSL pinning的安全性和可用性？ 为了保持SSL pinning的安全性和可用性，尤其是在证书更新时，建议使用 多个证书pin
Make it a habit to update pinned certificates in your app’s code whenever your server’s SSL certificates change. Automating this step with a 请务必在应用程序的__CAPGO_KEEP_0__中更新固定证书，尤其是在服务器的SSL证书更改时。通过使用CI/CD管道来自动化此步骤 可以使过程更加顺畅并减少安全漏洞的机会。专门为SSL pinning而构建的工具和库也可以简化设置，同时保持强大的安全实践。对于Capacitor应用，像Capgo这样的平台提供了额外的优势，允许实时更新，同时保持与Apple和Android指南的兼容性。 :::
::: faq
如何测试移动应用中的SSL pinning以防止中间人攻击（MITM）？
为了正确测试移动应用中的SSL pinning并防止 中间人攻击（MITM） ，开发人员应该专注于几个关键步骤。首先使用两种 证书固定 和 公钥固定。这种方法确保应用程序只接受可信的证书或公钥，从而使攻击者更难截取敏感信息。 测试在这里发挥着至关重要的作用。像
Burp Suite 这样的工具可以帮助开发人员测试和验证SSL pinning的有效性。 或 OWASP ZAP 可以模拟MITM攻击，允许您验证应用程序是否正确拒绝未经授权的证书。确保保留的证书保持最新状态 - 过期或过时的证书可能会削弱应用程序的安全性。定期测试和维护您的设置是保持安全的关键。
对于使用Capacitor构建的应用程序，工具如 Capgo 可以成为关键工具。Capgo不仅支持实时更新，还可以安全地与应用程序的CI/CD管道集成。这使得快速推出修复或更新变得更加容易，同时保持与Apple和Android指南的兼容性。 :::
继续SSL Pinning Implementation: Tools and Plugins
如果您正在使用 SSL Pinning Implementation: Tools and Plugins 来规划安全性和合规性，连接它与 加密 加密 Compliance for the implementation detail in Compliance, Capgo 安全扫描器 for the product workflow in Capgo Security Scanner, Capgo 安全 for the product workflow in Capgo Security, and Capgo 信任中心 for the product workflow in Capgo Trust Center.
