Estoy utilizando la biblioteca AF Networking 2 y leí que necesito incluir el certificado del servidor aquí / a>.
El cliente debe poder decir que el certificado es válido cuando se conecta al servidor, ¿por qué necesito incluir una copia en mi código?
Es específicamente porque estás haciendo pinning. Esto le permitiría trabajar independientemente de si tuviera un certificado autofirmado o un CA firmado. Básicamente, incluye el certificado con la aplicación y le dice a la aplicación específicamente "este certificado es válido".
Si bien esto impide la conexión a un certificado diferente y debería permitir el uso de un certificado autofirmado, también complica la revocación de un certificado de manera bastante severa, ya que la aplicación tendría que actualizarse antes de poder actualizar el certificado del lado del servidor. .
Personalmente, evitaría usar una biblioteca que requiera esto. Incluso si quisiera hacer un certificado autofirmado, la mejor manera de hacerlo es configurar su propia CA y decirle a la aplicación que confíe en el certificado raíz de la CA. Entonces todavía puede hacer la revocación normal y cambiar el certificado.
La biblioteca con la que está trabajando puede o no puede admitir esto, pero esa parte sería una pregunta de programación en lugar de una de seguridad.
El cliente podrá ver que el certificado es válido sin fijar el certificado. El cliente comprobará el emisor del certificado y el emisor del emisor del certificado, y así sucesivamente hasta que encuentre el certificado raíz. Si el certificado raíz está instalado en su teléfono, tratará el certificado del servidor como válido.
Un usuario malintencionado podría crear una nueva autoridad de certificación y emitir un certificado para el nombre de su servidor. La aplicación del teléfono no sabrá que este es un certificado creado por el usuario si el usuario instala el certificado raíz en el teléfono.
Esto hace posible que el usuario enrute el tráfico HTTPS a través de un proxy y luego pueda analizar el tráfico. Si desea hacer esto mucho más difícil para el usuario, puede fijar el certificado. De esa manera, el cliente solo se conectará a un servidor con el certificado exacto que está anclado.
Esto no hace que sea imposible detectar el tráfico, pero lo hace mucho más complicado.