Library · Network
Ghim khoá TLS mà không tự khoá mình ngoài cửa
Ghim khoá chặn proxy đọc lén ngay cả khi máy đã tin một chứng chỉ giả. Nhưng ghim sai cách có thể làm mọi bản đã phát hành mất kết nối khi bạn đổi chứng chỉ.
Ghim cái gì
Ghim khoá công khai (SPKI), không ghim cả chứng chỉ. Chứng chỉ gia hạn mỗi vài tháng, khoá có thể giữ lâu hơn.
Luôn có ghim dự phòng
Phát hành kèm ít nhất hai ghim: khoá đang dùng và một khoá dự phòng đã tạo sẵn, cất ngoại tuyến. Khi phải thay, chuyển sang khoá dự phòng mà bản cũ vẫn nối được.
Kế hoạch xoay vòng
- Thêm ghim mới vào bản phát hành, chờ phần lớn người dùng cập nhật.
- Đổi chứng chỉ trên server sang khoá mới.
- Gỡ ghim cũ ở bản sau.
Mạng công ty
Proxy kiểm tra TLS ở công ty sẽ bị chặn bởi ghim. Hãy có thông báo lỗi rõ ràng và cân nhắc chế độ chỉ cảnh báo cho khách doanh nghiệp.
Giới hạn
Trình duyệt không cho ghim. Ghim chỉ có ý nghĩa trong SDK native hoặc Node.
Áp dụng với ClavisAUH
Chữ ký hai chiều đã chặn sửa gói tin. Certificate Pinning thêm một lớp chống đọc lén, bạn gắn nó vào phần mềm qua Protection Kit.