Cert Pinning en la aplicación móvil: ¿realmente requiere un certificado SSL público en el lado del servidor?

Se usa un certificado en TLS para asegurarse de que el cliente hable con el servidor correcto y no con algún hombre en el medio. Para verificar el certificado, el cliente debe saber exactamente qué certificado esperar o debe encontrar otra forma de confiar en el certificado. En una configuración típica con navegadores web como clientes, no se puede escalar para distribuir el certificado esperado de manera segura para todos los clientes y, por lo tanto, se utiliza una PKI en la que el navegador no confía directamente en el certificado pero confía en el certificado porque confía en el El emisor y el asunto del certificado coinciden con la URL.

Pero en su caso de una aplicación móvil, realmente puede distribuir el conocimiento sobre el certificado con la aplicación. En este caso, es suficiente tener un certificado autofirmado y un pin a este certificado o su clave pública. Pero tenga en cuenta que no puede simplemente revocar el certificado en esta configuración en caso de que se vea comprometido. Si necesita esto, podría ser más fácil utilizar el mecanismo existente con una CA pública además de la fijación.