SSL Pinning技术------提高iOS网络安全性

简述

最近在看网络框架时，理解了下网络框架中使用到的安全技术。在苹果将要强制开发者使用HTTPS的环境下，如何提高HTTPS的安全性将成为重点。通过一段时间的学习，阅读了一些文章，融合了自己对SSL Pinning的理解，在此做个总结，也为自己做个备份，如有不正确或者不恰当的地方欢迎指正！

使用背景

在开发手机应用时，如何正确的使用HTTPS来提高网络传输的安全性是尤为重要的。HTTPS协议本使用了SSL 加密传输，相比HTTP但依然存在极大的安全隐患----中间人攻击。SSL解决了内容的加密的问题，但是SSL过程中是依靠证书进行验证的，这就需要保证证书绝对的安全。先立一个小目标（伪造证书），万一实现了呢？在立一个小目标（伪造服务器），万一实现了呢？事实证明目标是可以实现的（SSL系统遭入侵发布虚假密钥 微软谷歌受影响 ）。SSL Pinning技术就是基于SSL基础上在添加一个本地证书，用来再次验证！

中间人攻击

中间人攻击（英语：Man-in-the-middle attack，缩写：MITM），是一种由来已久的攻击手段。 攻击者通过特殊手段进行拦截正常的网络通信数据，在通信双方不知情的情况下对数据进行篡改。

具体中间人攻击简介请参考维基百科----中间人攻击 

中间人攻击流程

中间人攻击一般是发生在SSL会话的初始阶段，一旦会话初始完成，攻击者是很难通过中间人攻击进行攻击的。不了解SSL加密原理的请参考这篇文章 。也就是说中间人攻击只会发生在会话的初始阶段，初始化阶段是通过非对称加密来协商对称加密的密钥，通信阶段是通过对称加密来进行通信加密的，这种加密方式又称为混合加密。

在会话的初始阶段，客户端第一次发送请求时，通过明文进行发送的，为了防止信息泄露，服务端在返回时则返回一个公钥和证书给客户端。客户端验证证书是否是认证机构颁发，证书是否在有效期内，若没问题则进行下一次请求。在下一次客户端发送请求的时，通过公钥对核心数据进行加密，服务端在接收到数据时，获取对称加密的密钥。此后请求就是通过对称加密的密钥进行加密。

如果不进行证书的验证，当攻击者进行攻击时，通过拦截服务器返回的数据，将公钥替换为自己的公钥（伪公钥）返回给客户端，在客户端下一次请求时，攻击者就可以通过自己的私钥（伪私钥）将数据获取并替换为自己请求数据，通过获取到的公钥请求服务器，如此一来就可以获取到通信中的对话密钥，从而进行一系列的操作。

为了解决这个问题，服务器在返回公钥时将绑定证书（数字签名）返回，若客户端验证证书时发现证书有误则中断会话，这样就避免了攻击者进行拦截。但是怎么确定证书是认证机构颁发，这时就需要一个机构对服务器进行认证，这个机构就是CA，而这个认证之后的证书就是服务器返回的证书。但是如何确定这个机构就是一个值得相信的机构，这时还需要一个最权威的机构对其他机构进行认证，而这个最权威的机构就是根CA，对其他机构认证的证书就是根证书。以上是信任体系，通过这样的体系就有效的防止了攻击者进行证书伪造，如果攻击者是其中的某个机构认证过的，就会再次发生数据拦截伪造的情况。（有点绕，嘿嘿...）

基于上面的攻击方式，客户端和服务端需要在本地约定好一个本地证书，获取到数据之后在基于上面的验证基础上再验证本地证书是否相同，这样就有效的避免了中间人攻击，而这种安全技术就是SSL Pinning技术。

参考文章

通过SSL Pinning提高iOS应用的安全性 

什么是 TLS 中间人攻击？如何防范这类攻击？