Encontré un documento técnico en Pasar por alto la fijación de SSL . Si esto es cierto, ¿cómo podemos implementar de manera segura la fijación de certificados en las aplicaciones de Android? ¿Existe alguna otra solución que no sea la fijación de certificados?
El documento que vinculó detalladamente cómo el autor omitió la validación del certificado anclado de dos maneras diferentes: desensamblando la aplicación, eliminando el cheque y reconstruyendo el APK o cambiando el certificado en el almacén de claves de la aplicación. Ambos métodos requieren un alto grado de acceso a la aplicación.
No hay forma de proteger completamente tu aplicación contra esto. Esa es una de las razones por las que nunca debes confiar en el cliente.
Sin embargo, estos ataques requieren que el atacante pueda reemplazar su aplicación con la versión modificada. Si el atacante es el propietario del dispositivo, simplemente no puede evitarlo. De lo contrario, lo mejor que puede hacer es confiar en la seguridad del sistema operativo y advertir a los usuarios que no deben rootear sus dispositivos.
Lea otras preguntas en las etiquetas certificate-pinning android reverse-engineering