Насколько безопасны клиентские SSL-сертификаты в мобильном приложении?

вы делаете аутентификацию на стороне клиента с сертификатами через SSL? Не то, чтобы это действительно имело значение для этого вопроса. Любые закрытые ключи, хранящиеся в приложении, доступны злоумышленнику. Каждый клиент должен иметь свой собственный сертификат и пару ключей, чтобы предотвратить массовую компромисс. Ваш сервер также должен обеспечивать защиту, гарантируя, что скомпрометированный клиент не может просто запросить что-либо.

Это верно для любой схемы аутентификации. Если вы встраиваете пароли, ключи API, дешифрование ключи, что угодно. Все, что есть на устройстве, должно быть доступно.

добавленная безопасность от сертификатов частично исходит из того, что нет ничего грубой силы. Если вы прошли маршрут имя пользователя / пароль для каждого клиента, пароли можно угадать. То же самое с ключами API (хотя они длиннее и сложнее). С сертификатами это совершенно другой класс атак и значительно более сложная проблема.

но, самое главное, внутренней службы, не разрешить приложению делать все, что обычно не делают.

теперь, имея дело с сертификатами, у вас будет целый ряд других проблем. Вероятно, вы хотите подписать каждый сертификат клиента с помощью самозаверяющего сертификата CA. Управляющий, что сертификат может быть проблематичным, в зависимости от вашего варианта использования. Вы собираетесь генерировать эти клиентские сертификаты на лету или вручную самостоятельно? То есть, это приложение, которое может загрузить миллион человек, и вам нужна автоматизированная система для генерации их? Или это частное / внутреннее приложение, которое вы лично будете обрабатывать генерирующие сертификаты?

Как правило, клиентские SSL-сертификаты хранятся в хранилищах ключей (BKS, отформатированных в случае Android), и хранилище ключей включено в качестве ресурса в вашем APK. Хранилища ключей зашифрованы и защищены паролем. Таким образом, сертификат клиента не может быть легко извлечен из APK, поскольку он хранится в зашифрованном виде.

сейчас...что вы делаете с паролем? Вот суть дела, и у вас есть две альтернативы.

Если вы хотите, чтобы ваше приложение чтобы иметь возможность общаться с сервером (таким образом, чтобы иметь доступ к сертификату) без взаимодействия с пользователем, вам нужно будет встроить пароль в ваше приложение, а затем, да, злоумышленник может перепроектировать ваш код, чтобы найти его, захватить хранилище ключей, а затем расшифровать его для восстановления сертификата. Вы можете применить такие методы, как запутывание кода, чтобы злоумышленнику было сложнее это сделать, но это просто замедлит кого-то и не предотвратит это.

ваш вариант запрашивать пароль у пользователя каждый раз, когда приложение взаимодействует с сервером, и использовать его для расшифровки хранилища ключей (или спросить, когда приложение запускается и кэшировать сертификат в течение определенного периода времени). Преимущество здесь в том, что если кто-то обратит ваши APK, они найдут зашифрованное хранилище ключей и пароль, поэтому ваш сертификат безопасен. Недостатком является то, что пользователь предоставляет пароль.

какой подход лучше? Это полностью зависит от чувствительность данных, которые вас интересуют, и уровень риска, который вы готовы принять. Только ты можешь ответить на этот вопрос.

Даниил Guillamot, некоторые трюки я:

• разделенный ключ на стороне сервера. Сделайте парольную фразу для SSL-ключа результатом строки в приложении XOR string-fetched-from webservice.
• создайте строку в приложении, вызвав некоторые функции приложения вместо жестко закодированной строки.
• запретить трассировку приложения во время его работы, чтобы избежать того, чтобы кто-то взял последнюю парольную фразу, когда он вызывает расшифровку закрытого ключа. Ссылка: http://books.google.no/books?id=2D50GNA1ULsC&lpg=PA294&ots=YPQQ7DLjBD&dq=The%20example%20just%20shown%20demonstrates%20how%20calls%20to%20ptrace%20can%20be%20hijacked&hl=no&pg=PA293#v=onepage&q&f=false

Я хотел бы услышать, если у кого-нибудь есть другие идеи.

APK можно получить и скопировать, поэтому ничего не поможет. Активация и, возможно, привязка сертификата к устройству после установки будет необходима. Привязка может быть выполнена, например, путем помещения IMEI устройства в один из расширений сертификата и передачи IMEI вместе с сертификатом вашим приложением (или, лучше, передать IMEI после аутентификация и установление защищенного канала).