4

В браузере все понятно, у него заранее есть список вшитых сертификатов CA, которыми он проверяет сертификат сервера... Но как происходит проверка в мобильных приложениях? Или, допустим, когда я отправляю запрос, допустим, через BurpSuite?

15
  • В операционной системе мобильника точно так же вшиты сертификаты
    – andreymal
    Commented 3 июл. 2017 в 14:39
  • 1
    @Abyx в фаерфоксе они вшиты таки в браузер
    – andreymal
    Commented 3 июл. 2017 в 16:37
  • @andreymal и в Chrome, но могут использоваться и из Windows
    – Alex78191
    Commented 3 июл. 2017 в 22:18
  • @Alex78191 мне буквально только что Abyx указал на некоторую связанную с этим неточность.
    – user181100
    Commented 3 июл. 2017 в 22:20
  • @D-side для обывателя, по-моему, разницы нет.
    – Alex78191
    Commented 3 июл. 2017 в 22:24

2 ответа 2

2

Общие принципы SSL (а точнее, инфраструктуры ключей) продолжают работать и в контексте мобильных приложений. Набор CA (или, по-русски, ЦС – центров сертификации):

  • может быть размещен в ОС (чаще всего, т. к. он используется по умолчанию [обычно]).
  • может поставляться с приложением (что не такая уж редкость, см. Firefox).
  • может отсутствовать вовсе, если клиент заранее знает публичный ключ сервера сам, или может попросить пользователя проверить отпечаток ключа в интерфейсе (привет, SSH!), или просто плевать хотел на безопасность (и такое бывает! ¯\_(ツ)_/¯).

Может использоваться несколько вариантов сразу. Например, Яндекс.Браузер использует гибрид: он рассчитывает на системное хранилище, но отпечатки (хэши) сертификатов ЦСов оттуда сравнивает с известными ему (за уточнение механизма спасибо Abyx). Их немного, поэтому зашить в бинарник не проблема. Таким образом ЯБ пытается предупреждать ситуации, в которых соединение пользователя компрометируется через сторонний ЦС, установленный в систему без его ведома.


Так что, как видите, SSL довольно хорошо гнётся под разные ситуации.
Но реально этим богатством редко пользуются.

В подавляющем большинстве случаев сервер имеет ключ, заверенный известным ЦС, а клиент имеет только пачку известных ЦС в ОС. Сервер предоставляет доказательства, указывающие через известные ЦС на подлинность своего ключа. Так клиент понимает, что это тот самый сервер.

3
  • второй пункт, к слову, есть техника ssl pinning`а
    – AseN
    Commented 3 июл. 2017 в 16:56
  • @0xFFh нет, это не она. Больше похоже на HSTS preload list, но тоже не совсем. У Firefox и ЯБ именно собственный бандл ЦС.
    – user181100
    Commented 3 июл. 2017 в 16:59
  • @Abyx спасибо, прокомментировал этот момент.
    – user181100
    Commented 3 июл. 2017 в 22:09
1

Если говорить про Android (он построен на ядре Linux), там есть папка с сертификатами /etc/ssl, в которой хранится список всех установленных сертификатов в системе. Мобильные приложения при установке защищенного соединения обращаются к этому списку.

Ваш ответ

Нажимая «Отправить ответ», вы соглашаетесь с условиями пользования и подтверждаете, что прочитали политику конфиденциальности.

Всё ещё ищете ответ? Посмотрите другие вопросы с метками или задайте свой вопрос.