Закрепление сертификата в Android и iOS

Ознакомьтесь с этой статьей о закреплении сертификата и открытом ключе: https://www.owasp.org/index.php/Certificate_and_Public_Key_Pinning

Важным вопросом является то, что вы хотите закрепить. Если вы не хотите выпускать новую версию каждый раз при изменении сертификата, вы также можете указать открытый ключ сертификата, поскольку вы можете сохранить тот же открытый ключ при обновлении сертификата, ваше приложение по-прежнему будет работать с новым сертификатом. .

Другой вариант — прикрепить не к сертификату вашего сервера, а к промежуточному или корневому сертификату ЦС. Промежуточный сертификат обычно действителен в течение более длительного времени.

Это невозможно преодолеть, но вы можете сделать это менее болезненным:

• Если вы прикрепите сертификат привязки (ЦС), этот сертификат не будет часто меняться (каждые 5 или 10 лет).
• Лучше, чем закреплять сам сертификат, вы должны закрепить ключ внутри сертификата, который не меняется при повторном выпуске сертификата.
• Большинство библиотек закрепления (например, та, над которой я работал: https://github.com/datatheorem/TrustKit ) позволяет указать дату истечения срока действия политики закрепления, так что, если вы забудете обновить IPA/APK, приложение по-прежнему будет работать для ваших пользователей (но с отключенным закреплением, что по-прежнему относительно безопасно).