Certificate Pinning：什么是证书固定、固定方法及如何实现

Certificate Pinning的优点和缺点

Certificate Pinning显著提高移动应用的安全性，但给开发团队带来运营负担。重要的是权衡保护的好处和错误实施时连接锁定的风险。

主要优点——防御中间人攻击，包括CA受损的情况。Pinning使攻击者颁发的虚假证书无效：即使CA签署了伪造品，应用也会拒绝它。额外的好处——防御为检查流量而替换证书的企业代理服务器。根据Google安全博客（2023），使用pinning的应用相比仅使用标准TLS验证的应用，通过流量拦截被黑客攻击的可能性低86%。

Pinning的主要缺点——自我锁定的风险：如果在应用更新发布前服务器证书发生更改（续期、更换提供商、密钥轮换），用户将失去对服务器的访问。其他缺点：调试困难（每次设置更改都需要更新pin），使用TrustKit时APK大小增加5–15 KB，以及无法在没有新版本的情况下快速回滚更改。为最小化风险，使用备用pin、每2–3个月自动轮换以及应用同时接受旧证书和新证书的宽限期。还需注意，在启用pinning的开发过程中，无法使用代理工具（Burp Suite、Charles）调试网络请求——对于开发版本，应通过BuildConfig.DEBUG标志禁用pinning，QA测试应在启用保护的发布签名上进行。一些团队使用带有单独pinning证书的staging域用于开发环境，以在开发阶段也保持保护。

在Android中实现Certificate Pinning

让我们看看在Android上使用OkHttp（网络请求的标准库）实现Certificate Pinning的示例。OkHttp提供内置的CertificatePinner，接受公钥的SHA-256哈希值。

val certificatePinner = CertificatePinner.Builder()
    .add(
        "api.example.com",
        "sha256/AAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAA="
    )
    .add(
        "api.example.com",
        "sha256/BBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBB="
    )
    .build()

val client = OkHttpClient.Builder()
    .certificatePinner(certificatePinner)
    .build()

在上面的代码中，我们为api.example.com域添加两个pin：主要（当前证书）和备用（用于轮换）。OkHttp自动检查服务器证书是否与指定的SHA-256指纹之一匹配。获取证书SHA-256指纹的命令：openssl s_client -connect api.example.com:443 | openssl x509 -pubkey -noout | openssl pkey -pubin -outform der | openssl dgst -sha256 -binary | base64。重要的是不要在代码中以开放形式存储指纹，而应加密或混淆：MobSF静态分析容易在DEX文件中找到裸SHA-256字符串。建议将pin存储在res/raw资源中，通过AES加密，并在应用启动时通过本地代码（NDK/JNI）解密。

通过TrustKit在iOS上实现

在iOS上，Certificate Pinning的主要工具是开源库TrustKit。与OkHttp不同，TrustKit通过Info.plist声明式配置，允许在不重新编译应用的情况下更改pin。配置包括包含域名的字典和公钥SHA-256指纹的数组。TrustKit自动拦截NSURLSession请求，并在数据传输开始前检查证书。TrustKit的一个关键特性——支持pin验证报告：库可以在pin不匹配时向指定端点发送报告，从而快速响应证书异常。Apple也从iOS 14开始提供Info.plist中的原生NSPinnedDomains机制，但TrustKit由于更灵活的配置、报告支持以及无需系统更新即可热替换pin的能力，仍是首选。TrustKit通过didReceiveChallenge委托与URLSession集成，pin验证成功时返回.performDefaultHandling，不匹配时返回.cancelAuthenticationChallenge。为监控pin验证报告，建议配置一个单独的端点来分析错误频率：如果报告数量突然增加——可能表示中间人攻击或证书即将过期，需要立即更新pin。