有的时候咱们会为了 APP 的平安做很多措施,就比方双向认证,通过证书帮忙咱们做通信加密。咱们通过以下几个问题帮忙咱们更进一步地理解和施行。
- 什么是双向认证?
- https 是双向认证吗?
- SSL/TLS Pinning 和双向认证的区别?
双向认证理论就是通信单方相互认证的一个过程,做的比拟多的就是客户端和服务端的互相认证,就是单方在通信的时候先校验下单方是否是非法的,留神是单方都要校验
有的同学就想,那 https 的校验过程属于双向认证吗?接下来,咱们先来看下它的过程
这里借用其它网站的一张图,这个过程理论就是 SSL/TLS 加密的过程
1. 客户端发送申请
2. 服务端把申请的证书(就是下面服务端生成的公钥私钥, 实际上证书不仅蕴含这些) 发给客户端
3。客户端利用本地环境的 ca 证书 (个别是由公共权威的机构内置在手机或电脑内) 查看服务端证书合法性后,生成随机 key,并用证书里的公钥加密发给服务端
4. 服务端接管到后,利用私钥对客户端 key 的 hash 加密,发给客户端
5. 客户端用公钥解密后看本人的 key 的 hash 是否统一
6. 如果统一将会把生成的对称算法和密钥用服务端的公钥发给对方,而后就开始传输数据
通过这几个步骤咱们发现,只有客户端校验了服务端的证书,但服务端并没有对客户端进行粗疏的校验,所以咱们能够通过不同客户端向服务端发送申请。
那么问题来了,出于更高规格的平安思考,我可不可以让我的服务端只承受我 APP 里收回的申请呢?
前端大略思路如下:
- 生成自签的客户端和服务端证书,拿到前端的客户端证书和 ca 证书
- 安卓端须要先将客户端证书的公钥和私钥转成 p12 格局,再转成 bks 格局;ios 端 p12 就能够了
- 而后通过 rn 的原生模块嵌入到我的项目,具体能够看下 rn 的官网文档
这样在通信的时候,客户端收到服务端的证书会应用本人 APP 内嵌的自签 ca 证书去校验服务端,服务端也会应用自签的 ca 证书去校验客户端的证书,这样就能够实现只有自家的那些 APP 能够和服务端通信了
留神:因为 APP 内嵌了证书,而 APP 又容易解包,所以就要做好 APP 的防护了!
另外,有的同学可能理解过SSL Pinning,咱们晓得 SSL Pinning 有两种策略,一种是把服务端证书放 APP,一种是放服务端的公钥,而后通过证书或公钥对服务端进行非法校验。
但不论是哪种形式,实际上还是客户端在校验服务端罢了。
参考文章: HTTP 与 HTTPS 的区别