Что такое пиннинг сертификата и как он работает?

Представьте, что Вы пользуетесь мобильным банковским приложением и только что завершили транзакцию. Вы же хотите, чтобы эта конфиденциальная информация была в безопасности, не так ли?

Именно в этом случае подшивка сертификатов играет решающую роль. Это мера предосторожности, применяемая разработчиками приложений, чтобы обеспечить безопасную передачу Ваших данных по сети.

Но что же такое прикрепление сертификата, и как именно оно работает? И есть ли какие-нибудь недостатки, о которых Вам следует знать? Давайте посмотрим подробнее.

---

Оглавление

1. Что такое “прикрепление сертификата”?
2. Как работает SSL Pinning?
3. Преимущества SSL Pinning
4. Проблемы с SSL Pinning
5. Альтернативы SSL Pinning

---

Что такое “прикрепление сертификата”?

Привязка сертификата – это мера безопасности, которая связывает хост с его ожидаемым цифровым сертификатом или открытым ключом. Она включает в себя такие приемы, как статическое или динамическое прикрепление, которые позволяют системе проверять личность хоста.

Вместо того чтобы полагаться исключительно на стандартную систему проверки того, подписывает ли доверенный центр сертификации SSL-сертификат сервера, прикрепление сертификата жестко фиксирует определенный сертификат или его открытый ключ в приложении. Это гарантирует, что приложение будет принимать только этот предварительно одобренный сертификат, снижая риск атак типа “человек посередине”, несанкционированных подключений к серверу и недобросовестных центров сертификации.

Техники, используемые в SSL Pinning

Давайте рассмотрим техники, используемые в SSL Pinning, в частности, Certificate and Public Key Pinning, чтобы Вы могли лучше понять, как это работает.

• Закрепление сертификата SSL: Встраивает определенный SSL-сертификат непосредственно в код приложения, так что оно будет доверять и устанавливать безопасные соединения с сервером только в том случае, если он представляет именно этот сертификат. Такой подход повышает безопасность, но может создавать проблемы при обновлении сертификатов.
• Привязка открытого ключа: Сфокусируйтесь на более детальном уровне, указывая и проверяя только открытый ключ, извлеченный из SSL-сертификата. Этот способ обеспечивает большую гибкость по сравнению с привязкой сертификатов, позволяя легче обновлять сертификаты без изменения кода приложения. Если Вы прикрепляете только открытый ключ, то в повернутом сертификате обычно сохраняется тот же самый открытый ключ.

---

Типы SSL-пиннинга

Как статическая, так и динамическая SSL-фиксация повышает безопасность связи между приложением и сервером. Разница заключается в том, как разработчики приложений для iOS и Android обращаются с сертификатами. Статическая SSL-фиксация встраивает сертификат в само приложение, а динамическая SSL-фиксация позволяет приложению обновлять сертификат с течением времени.

• Статический SSL-контакт: SSL-сертификат жестко закодирован в самом приложении. Этот метод, хотя и надежный, не позволяет обновлять сертификаты, что создает потенциальные проблемы с безопасностью. Если срок действия жестко закодированного сертификата истечет или он будет скомпрометирован, Вам придется обновить все приложение, чтобы установить новый SSL-сертификат. Таким образом, статическое крепление SSL требует тщательного планирования.
• Динамическая привязка SSL: Этот метод предлагает более гибкий подход к привязке сертификатов, позволяя обновлять их, не требуя полной перестройки приложения. Dynamic SSL Pinning извлекает SSL-сертификат или открытый ключ во время выполнения программы и позволяет программным приложениям динамически обновлять прикрепленные сертификаты. Он обеспечивает дополнительную безопасность, поддерживая целостность связи между клиентом и сервером.

---

Какие сертификаты можно прикреплять?

Разработчики обычно прикрепляют листовой сертификат или открытый ключ, соответствующий листовому сертификату. Листовой сертификат – это тот, который непосредственно соответствует домену, для которого устанавливается безопасное соединение.

Вот краткий обзор различных типов сертификатов в цепочке TLS, которые Вы можете прикрепить:

• Сертификат листа (сертификат сервера или конечного узла): Этот сертификат связан непосредственно с доменом сервера и содержит открытый ключ.
• Промежуточный сертификат(ы): Эти сертификаты находятся между корневым сертификатом и сертификатом конечного лица (листа) как часть цепочки доверия в TLS-соединениях.
• Корневой сертификат: Корневой сертификат – это самый высокий уровень в иерархии сертификатов. Он является самоподписанным и представляет собой окончательный якорь доверия. Корневые сертификаты предварительно устанавливаются в веб-браузеры и операционные системы.

Закрепление корневого сертификата обычно не рекомендуется, поскольку это снижает гибкость обновления сертификата сервера. Прикрепление промежуточных сертификатов также менее распространено, поскольку они могут быть подвержены изменениям во время обновления сертификатов. Наиболее распространенной практикой является привязка сертификатов серверов или их открытых ключей.

---

Как работает SSL Pinning?

Когда Вы подключаетесь к защищенному веб-сайту, Ваш браузер проверяет SSL-сертификат сайта по списку доверенных центров сертификации. Если сертификат действителен, соединение продолжается. SSL-фиксация дополнительно защищает этот процесс.

При использовании SSL pinning Ваше приложение доверяет SSL-сертификату не только потому, что он выдан доверенным центром сертификации. Вместо этого он сверяет сертификат с копией или “пином”, хранящимся в приложении. Если сертификат не соответствует выводу, соединение прерывается. Сверяясь с пином, приложение может проверить идентичность сайта, даже если у злоумышленника есть действительный сертификат от надежного центра сертификации.

Вот пошаговый процесс закрепления сертификата для мобильных приложений:

• Начать соединение: Мобильное приложение инициирует безопасное соединение с сервером.
• Сертификат сервера: Сервер представляет свой SSL-сертификат, включая открытый ключ, а клиент проверяет его.
• Настройка пиннинга: Приложение настроено на доверие к определенному SSL-сертификату, например, выданному сервером.
• Проверка сертификата: Приложение проверяет, совпадает ли представленный сертификат с предварительно одобренным.
• Безопасное соединение: Если есть совпадение, приложение устанавливает безопасное соединение; в противном случае оно отклоняет соединение, повышая уровень безопасности.

Например, если приложение ожидает сертификат, выданный“Sectigo CA“, оно будет подключаться только к серверам, имеющим сертификат, подписанный “Sectigo CA”, что снижает потенциальные риски безопасности.

---

Преимущества SSL Pinning

SSL-фиксация дает множество преимуществ, среди которых – повышенная безопасность. Он обеспечивает защиту от подделки сертификатов, защиту от обратного инжиниринга и защиту от злоупотребления API. Более того, это повышает надежность Вашего приложения, укрепляя доверие пользователей к Вашей платформе.

1. Повышенная безопасность. Прикрепление сертификата предварительно загружает открытый ключ или сертификат сервера в приложение. Таким образом, даже если хакеру удастся обманом заставить Вашу систему принять мошеннический сертификат, приложение будет принимать только предварительно загруженный сертификат.
   
   Этот защитный механизм блокирует несанкционированный доступ или фальсификацию данных, передаваемых между Вашим приложением и сервером. Внедряя SSL pinning, Вы эффективно повышаете барьер для хакеров, делая Вашу систему более устойчивой к киберугрозам.
2. Устранение подмены сертификатов. Подмена сертификата – это представление поддельного SSL-сертификата, чтобы обмануть системы и заставить их довериться неавторизованному лицу, что позволяет перехватывать и манипулировать защищенными коммуникациями.
   
   Это средство защиты работает путем блокировки клиента на принятие определенного сертификата или сертификата, подписанного определенным органом. Если злоумышленник попытается подделать сертификат, Ваша система отклонит его, потому что это не тот сертификат, который был указан, что значительно повышает Вашу безопасность от потенциальных угроз.
3. Защита от обратного инжиниринга. Помимо защиты от подмены сертификатов, SSL-фиксация защищает Вашу систему от обратного инжиниринга – обманного маневра, часто используемого хакерами для вскрытия и копирования Вашего программного обеспечения.
   
   Записывая сертификат или открытый ключ сервера в свое приложение, Вы фактически создаете уникальную, неизменяемую личность для сервера. В результате хакеры не могут использовать их сертификаты. Кроме того, это проактивная мера, предупреждающая Вас о любых несоответствиях или потенциальных атаках до того, как они смогут причинить вред.
4. Защита от злоупотребления API. Помимо защиты от обратного инжиниринга, SSL-фиксация также обеспечивает надежную защиту от злоупотреблений API (Application Program Interface), одной из самых распространенных угроз в современном цифровом ландшафте. Злоупотребление API обычно подразумевает использование злоумышленниками слабых мест API, что приводит к несанкционированному доступу и утечке данных.
   
   Однако с помощью привязки сертификата Вы добавляете дополнительный уровень безопасности. Это гарантирует, что Ваше приложение будет взаимодействовать только с назначенным сервером, сводя к нулю риск атак типа “человек посередине”.
5. Повышение доверия. SSL-фиксация может значительно повысить надежность Вашего приложения, убеждая пользователей в том, что Вы обращаетесь с их данными наиболее профессионально. С помощью привязки сертификатов Вы устанавливаете дополнительный уровень безопасности, привязывая свое приложение к определенному сертификату или открытому ключу.
   
   Таким образом, даже если злоумышленнику удастся подделать новый сертификат, пиннинг заблокирует соединение, укрепляя доверие к безопасности данных Вашего приложения.
   
   Такое повышение надежности равносильно росту доверия, лояльности и вовлеченности пользователей. Чем надежнее Ваше приложение, тем охотнее пользователи будут доверять ему свои данные.

---

Проблемы с SSL Pinning

Хотя SSL-фиксация дает значительные преимущества в плане безопасности, она не лишена и проблем, которые Вам придется преодолеть.

SSL-фиксация влечет за собой значительные затраты на обслуживание, что создает потенциальные проблемы с поддержанием и надежностью Вашей системы.

Вам придется постоянно обновлять сертификаты, и Ваша система или приложение могут стать уязвимыми, если не управлять ими должным образом.

Это может оказаться сложным при масштабировании и работе с несколькими сертификатами. При неправильной реализации “привязка” сертификатов может случайно заблокировать легитимные серверы, что приведет к сбоям в работе приложений или проблемам с доступом.

Одна конкретная реализация была устаревшей из-за серьезных проблем с безопасностью. HTTP Public Key Pinning (HPKP) позволяет веб-сайтам давать указания браузерам принимать только определенные открытые ключи в течение определенного периода времени.

Однако его недостатком стала сложная конфигурация и связанные с ней риски. Неправильные настройки параметров прикрепления могут привести к серьезным последствиям, потенциально вызывая отказ в обслуживании веб-сайтов.

Хотя SSL-фиксация может повысить безопасность Вашего приложения, она не является решением “серебряной пули” и может убаюкать Вас ложным чувством безопасности. Более того, многие эксперты по безопасности считают его устаревшим из-за вышеперечисленных проблем.

Вы должны знать об этих проблемах и рассмотреть альтернативные варианты, чтобы принять наиболее обоснованное решение в Вашей конкретной ситуации. Давайте разберемся в этих проблемах и рассмотрим другие возможные варианты.

---

Альтернативы SSL Pinning

Хотя у SSL-фиксации есть свои проблемы, существуют жизнеспособные альтернативы, которые Вы можете рассмотреть.

• Прозрачность сертификатов (CT) Предлагает публичный журнал сертификатов, обеспечивая видимость и предотвращая ошибочный выпуск или мошенничество с сертификатами.
• Онлайновый протокол статуса сертификата (OCSP) Сшивание – это еще один метод получения статуса отзыва сертификата.
• Политика безопасности содержимого (CSP) защищает от межсайтового скриптинга (XSS) и других атак с внедрением кода, определяя доверенные источники.

---

ЧАСТО ЗАДАВАЕМЫЕ ВОПРОСЫ

В чем разница между скреплением сертификатов и булавками?

Сшивание сертификатов упрощает рукопожатия TLS (Transport Layer Security), поскольку сервер представляет свой сертификат и подтверждение его действительности с временной отметкой. Между тем, привязка сертификатов повышает безопасность, привязывая точный сертификат к сервису или приложению, что препятствует принятию неавторизованных сертификатов.

В чем разница между “привязкой” и “цепочкой” сертификатов?

Привязка сертификатов обеспечивает безопасность, напрямую связывая определенный криптографический сертификат с клиентскими приложениями, а цепочка сертификатов проверяет подлинность сертификата, проверяя всю цепочку сертификатов доверия, включая промежуточные и корневые сертификаты.

Могут ли хакеры обойти пиннинг сертификата?

Хотя это и непросто, опытные и решительные хакеры могут найти способы обойти блокировку сертификатов с помощью продвинутых техник. Например, злоумышленники могут использовать такие фреймворки, как Cydia Substrate или Frida, чтобы перехватывать и изменять код приложения во время выполнения.

---

Нижняя линия

Привязка SSL-сертификата – это метод, который усиливает безопасность Вашего HTTPS-соединения, прочно связывая Ваше приложение или сайт с определенным сертификатом или открытым ключом. Но как бы здорово это ни звучало, это не лишено недостатков.

Несмотря на свои преимущества, у cert pinning есть ограничения. Он не гарантирует полной защиты от всех типов атак, и сложные взломы все равно могут обойти его, сделав Ваше приложение уязвимым.
В целом, это достойный способ повысить Вашу безопасность, но он не является конечной целью всех мер кибербезопасности. Рассмотрите альтернативы, которые мы предложили для полномасштабной защиты.