草庐IT

ios - 如何在 iOS 下获取 TrustKit 框架的 SSL pinning 的备份 pin？

coder 2024-01-18 原文

我目前正在实现 TrustKit framework在我的 iOS 应用程序中为 SSL 连接启用 SPKI 固定。 我偶然发现了正确配置 TrustKit 所必需的“备用密码”。不幸的是，API 文档只说明需要备用 pin，但没有告诉我它应该是什么。信任链如下所示:

GeoTrust Global CA
| GeoTrust SSL CA - G3
   | myServer.com

所以我将 myServer.com 证书的 SPKI 哈希固定为主要固定。我的备用密码是什么？

不幸的是，我没有找到很多关于这个主题的信息。我找到的少数资源之一是 this article来自 PayPal 的 Hubert Le Van Gong。他谈到备用别针:

“无论 pin 值的数量是多少，备用 pin 都是绝对必须具备的。请注意，备用 pin 的存在是 HPKP 中的强制要求(即对于 web 案例)，但它同样重要移动应用程序空间。在这两种情况下，与备用 pin 对应的 key 对应保持离线状态，直到主 pin/ key 出现问题。”

我特别不明白“应该保持离线”的部分。

关于固定什么的问题:

根 CA 证书可能是最好的。因此，在我看来，当固定到多个值(例如 2)时，中间 CA – 根 CA 是一种合理的方法。也就是说，只要该证书是根 CA，仅固定到单个证书也是完全可以的。

由此我了解到我的备份 pin 可能是根 CA(确切地说是 SPKI 哈希)。但是，我想知道中间 CA 甚至根 CA 是如何成为好的引脚的。据我了解，这将验证链中具有此中间/根 CA 的每个证书的固定。

我在这里弄错了什么？

最佳答案

I wonder how an intermediate or even root CA can be good pins. From my understanding this would validate the pinning for every certificate that has this intermediate/root CA in it's chain.

What am I getting wrong here?

你根本没有弄错任何东西。您选择的固定配置归结为您所接受的安全级别和实用性之间的折衷。有 3 个选项和权衡:

Pin to leaf certificates(最高安全性)

您拥有对一切的完全控制权和所有权，没有任何外部影响可以在不损害您的基础设施的情况下损害您的 SSL。此外，任何一个证书的泄露都不会影响其他证书。

这里的缺点是需要大量敏感的基础设施来颁发、审核、管理和部署几十个证书。假设一家出版商在各种杂志和新闻 Assets 中拥有 5,000 个 SSL 证书。

固定到您拥有的中间 CA(非常高的安全性)

固定到叶证书的好处实际上类似，但如果您的中间证书遭到破坏，则所有颁发的证书都会受到破坏。这是固定大量 SSL 证书的平衡方法。

缺点是获得其中之一的成本非常高。

固定到受信任的根 CA(高安全性)

如果您固定到不属于您的根 CA 或中间 CA，您实际上是将 key 交给该证书的所有者。这确实意味着您正在接受根证书或中间证书为您的域颁发的任何证书。然而，现实情况是，这可能足以阻止大多数攻击。成熟的全局权威机构的商业模式以信任为基础。根 CA 不太可能为您的域颁发恶意证书。

这里有一些缺点:

  1. CA 员工 – 在 rare cases众所周知，CA 员工会做坏事。
  2. 国家行为者 – 我们不知道政府是否能够让全局权威机构颁发恶意证书。也许甚至在他们不知情的情况下通过法外国内 spy 事件。

最后，最常见的策略往往是固定到 2 或 3 个受信任的证书颁发机构。当任何一个 CA 受到威胁或损坏时，您已经颁发了其他受信任的证书并准备就绪。

关于ios - 如何在 iOS 下获取 TrustKit 框架的 SSL pinning 的备份 pin？，我们在Stack Overflow上找到一个类似的问题： https://stackoverflow.com/questions/36744697/

何在TrustKit的sectionCAiosnsurlsessionpinning

有关ios - 如何在 iOS 下获取 TrustKit 框架的 SSL pinning 的备份 pin？的更多相关文章

  1. ruby - 如何在 Ruby 中顺序创建 PI - 2

    出于纯粹的兴趣，我很好奇如何按顺序创建PI，而不是在过程结果之后生成数字，而是让数字在过程本身生成时显示。如果是这种情况，那么数字可以自行产生，我可以对以前看到的数字实现垃圾收集，从而创建一个无限系列。结果只是在Pi系列之后每秒生成一个数字。这是我通过互联网筛选的结果:这是流行的计算机友好算法，类机器算法:defarccot(x,unity)xpow=unity/xn=1sign=1sum=0loopdoterm=xpow/nbreakifterm==0sum+=sign*(xpow/n)xpow/=x*xn+=2sign=-signendsumenddefcalc_pi(digits

  2. ruby - 如何在 buildr 项目中使用 Ruby 代码？ - 2

    如何在buildr项目中使用Ruby？我在很多不同的项目中使用过Ruby、JRuby、Java和Clojure。我目前正在使用我的标准Ruby开发一个模拟应用程序，我想尝试使用Clojure后端(我确实喜欢功能代码)以及JRubygui和测试套件。我还可以看到在未来的不同项目中使用Scala作为后端。我想我要为我的项目尝试一下buildr(http://buildr.apache.org/)，但我注意到buildr似乎没有设置为在项目中使用JRuby代码本身!这看起来有点傻，因为该工具旨在统一通用的JVM语言并且是在ruby中构建的。除了将输出的jar包含在一个独特的、仅限ruby​​

  3. ruby - 什么是填充的 Base64 编码字符串以及如何在 ruby​​ 中生成它们？ - 2

    我正在使用的第三方API的文档状态:"[O]urAPIonlyacceptspaddedBase64encodedstrings."什么是“填充的Base64编码字符串”以及如何在Ruby中生成它们。下面的代码是我第一次尝试创建转换为Base64的JSON格式数据。xa=Base64.encode64(a.to_json) 最佳答案 他们说的padding其实就是Base64本身的一部分。它是末尾的“=”和“==”。Base64将3个字节的数据包编码为4个编码字符。所以如果你的输入数据有长度n和n%3=1=>"=="末尾用于填充n%

  4. ruby-on-rails - 如何在 ruby​​ 中使用两个参数异步运行 exe？ - 2

    exe应该在我打开页面时运行。异步进程需要运行。有什么方法可以在ruby​​中使用两个参数异步运行exe吗？我已经尝试过ruby​​命令-system()、exec()但它正在等待过程完成。我需要用参数启动exe，无需等待进程完成是否有任何ruby​​gems会支持我的问题？ 最佳答案 您可以使用Process.spawn和Process.wait2:pid=Process.spawn'your.exe','--option'#Later...pid,status=Process.wait2pid您的程序将作为解释器的子进程执行。除

  5. ruby - 如何在续集中重新加载表模式？ - 2

    鉴于我有以下迁移:Sequel.migrationdoupdoalter_table:usersdoadd_column:is_admin,:default=>falseend#SequelrunsaDESCRIBEtablestatement,whenthemodelisloaded.#Atthispoint,itdoesnotknowthatusershaveais_adminflag.#Soitfails.@user=User.find(:email=>"admin@fancy-startup.example")@user.is_admin=true@user.save!ende

  6. ruby - 如何在 Ruby 中拆分参数字符串 Bash 样式？ - 2

    我正在为一个项目制作一个简单的shell，我希望像在Bash中一样解析参数字符串。foobar"helloworld"fooz应该变成:["foo","bar","helloworld","fooz"]等等。到目前为止，我一直在使用CSV::parse_line，将列分隔符设置为""和.compact输出。问题是我现在必须选择是要支持单引号还是双引号。CSV不支持超过一个分隔符。Python有一个名为shlex的模块:>>>shlex.split("Test'helloworld'foo")['Test','helloworld','foo']>>>shlex.split('Test"

  7. ruby - 如何在 Lion 上安装 Xcode 4.6，需要用 RVM 升级 ruby - 2

    我实际上是在尝试使用RVM在我的OSX10.7.5上更新ruby，并在输入以下命令后:rvminstallruby我得到了以下回复:Searchingforbinaryrubies,thismighttakesometime.Checkingrequirementsforosx.Installingrequirementsforosx.Updatingsystem.......Errorrunning'requirements_osx_brew_update_systemruby-2.0.0-p247',pleaseread/Users/username/.rvm/log/138121

  8. ruby-on-rails - 如何在 ruby​​ 交互式 shell 中有多行？ - 2

    这可能是个愚蠢的问题。但是，我是一个新手......你怎么能在交互式ruby​​shell中有多行代码？好像你只能有一条长线。按回车键运行代码。无论如何我可以在不运行代码的情况下跳到下一行吗？再次抱歉，如果这是一个愚蠢的问题。谢谢。 最佳答案 这是一个例子:2.1.2:053>a=1=>12.1.2:054>b=2=>22.1.2:055>a+b=>32.1.2:056>ifa>b#Thecode‘if..."startsthedefinitionoftheconditionalstatement.2.1.2:057?>puts"f

  9. ruby-on-rails - 如何在我的 Rails 应用程序 View 中打印 ruby​​ 变量的内容？ - 2

    我是一个Rails初学者，但我想从我的RailsView(html.haml文件)中查看Ruby变量的内容。我试图在ruby​​中打印出变量(认为它会在终端中出现)，但没有得到任何结果。有什么建议吗？我知道Rails调试器，但更喜欢使用inspect来打印我的变量。 最佳答案 您可以在View中使用puts方法将信息输出到服务器控制台。您应该能够在View中的任何位置使用Haml执行以下操作:-puts@my_variable.inspect 关于ruby-on-rails-如何在我的R

  10. ruby - 如何在 Rails 4 中使用表单对象之前的验证回调？ - 2

    我有一个服务模型/表及其注册表。在表单中，我几乎拥有服务的所有字段，但我想在验证服务对象之前自动设置其中一些值。示例:--服务Controller#创建Action:defcreate@service=Service.new@service_form=ServiceFormObject.new(@service)@service_form.validate(params[:service_form_object])and@service_form.saverespond_with(@service_form,location:admin_services_path)end在验证@ser

随机推荐