В браузере все понятно, у него заранее есть список вшитых сертификатов CA
, которыми он проверяет сертификат сервера... Но как происходит проверка в мобильных приложениях? Или, допустим, когда я отправляю запрос, допустим, через BurpSuite
?
-
В операционной системе мобильника точно так же вшиты сертификаты– andreymalCommented 3 июл. 2017 в 14:39
-
1@Abyx в фаерфоксе они вшиты таки в браузер– andreymalCommented 3 июл. 2017 в 16:37
-
@andreymal и в Chrome, но могут использоваться и из Windows– Alex78191Commented 3 июл. 2017 в 22:18
-
@Alex78191 мне буквально только что Abyx указал на некоторую связанную с этим неточность.– user181100Commented 3 июл. 2017 в 22:20
-
@D-side для обывателя, по-моему, разницы нет.– Alex78191Commented 3 июл. 2017 в 22:24
2 ответа
Общие принципы SSL (а точнее, инфраструктуры ключей) продолжают работать и в контексте мобильных приложений. Набор CA (или, по-русски, ЦС – центров сертификации):
- может быть размещен в ОС (чаще всего, т. к. он используется по умолчанию [обычно]).
- может поставляться с приложением (что не такая уж редкость, см. Firefox).
- может отсутствовать вовсе, если клиент заранее знает публичный ключ сервера сам, или может попросить пользователя проверить отпечаток ключа в интерфейсе (привет, SSH!), или просто плевать хотел на безопасность (и такое бывает!
¯\_(ツ)_/¯
).
Может использоваться несколько вариантов сразу. Например, Яндекс.Браузер использует гибрид: он рассчитывает на системное хранилище, но отпечатки (хэши) сертификатов ЦСов оттуда сравнивает с известными ему (за уточнение механизма спасибо Abyx). Их немного, поэтому зашить в бинарник не проблема. Таким образом ЯБ пытается предупреждать ситуации, в которых соединение пользователя компрометируется через сторонний ЦС, установленный в систему без его ведома.
Так что, как видите, SSL довольно хорошо гнётся под разные ситуации.
Но реально этим богатством редко пользуются.
В подавляющем большинстве случаев сервер имеет ключ, заверенный известным ЦС, а клиент имеет только пачку известных ЦС в ОС. Сервер предоставляет доказательства, указывающие через известные ЦС на подлинность своего ключа. Так клиент понимает, что это тот самый сервер.
-
-
@0xFFh нет, это не она. Больше похоже на HSTS preload list, но тоже не совсем. У Firefox и ЯБ именно собственный бандл ЦС.– user181100Commented 3 июл. 2017 в 16:59
-
@Abyx спасибо, прокомментировал этот момент.– user181100Commented 3 июл. 2017 в 22:09
Если говорить про Android (он построен на ядре Linux), там есть папка с сертификатами /etc/ssl
, в которой хранится список всех установленных сертификатов в системе. Мобильные приложения при установке защищенного соединения обращаются к этому списку.