Выбор ответа Middle Безопасность мобильных приложений обновлено
Certificate pinning: плюсы и риски
Вопрос
Что даёт certificate pinning и какой у него главный операционный риск?
Попробуйте сами
Выберите вариант, и откроется разбор.
Показать ответ и разбор
Коротко
Правильный ответ: Защищает от MITM с поддельным доверенным сертификатом, но при смене ключа без запасного пина клиенты отвалятся. Pinning проверяет, что сервер предъявил ожидаемый публичный ключ, а не просто любой сертификат из доверенных центров.
Варианты ответа
- Ускоряет TLS-рукопожатие, потому что клиент не проверяет цепочку до корневого сертификата; риска нет никакого
- Заменяет HTTPS собственным шифрованием, поэтому не зависит от центров сертификации
- Защищает от MITM с поддельным доверенным сертификатом, но при смене ключа без запасного пина клиенты отвалятсяправильный ответ
- Шифрует данные на диске ключом сертификата сервера; риск в потере данных при его истечении
Разбор
Pinning проверяет, что сервер предъявил ожидаемый публичный ключ, а не просто любой сертификат из доверенных центров. Это защищает от установленного пользователем или атакующим корневого сертификата. Риск: если ключ сервера поменялся, а старые версии приложения знают только старый пин, они не смогут подключиться. Поэтому пинят публичный ключ (SPKI), держат запасные пины и план ротации. HTTPS он не заменяет, а дополняет.
Ответьте сами, а не прочитайте
В тренажёре вопрос попадёт в повторения и вернётся, когда начнёт забываться. Плюс билеты с зачётом: 20 вопросов, не больше 2 ошибок.
Ещё по теме «Безопасность мобильных приложений»
- Биометрия для входа
- Защита экрана с чувствительными данными
- Безопасное хранение данных на устройстве
- Где хранить токены на Android
- Логирование и персональные данные
- OWASP MASVS
- Угрозы и защиты мобильного приложения
- Код-ревью: хранение сессии и вход (Swift)