带有证书锁定功能的移动应用 - 具有可信CA的DMZ证书上的SSL证书与我自己的CA

Question

我正在开发具有证书锁定功能的移动应用。我将在DMZ中有一个代理我的请求的框。该服务器是否应该拥有可信CA的证书，或者可以使用我自己的CA生成的证书吗？

从移动客户端使用可信CA的好处是什么？

此外，我会打几个不同的服务器后，将使用我自己的CA生成的证书。我是否应该把这些钉住？我假设是，即使在网络中，两者都是最好的。但是必要的？

谢谢！

Answer 1

如果您使用自己的CA来管理撤销过程，这很难。

Answer 2

如果使用自定义的CA，这意味着你将不得不采取：

• 提供的所有移动设备将使用你的应用程序与您的自定义CA.如果您不控制移动设备，这将无法完成，将CA推入设备的信任商店无论如何都是一项责任。
• 禁用系统的默认证书验证，以便您的应用程序接受自定义CA，然后重新验证服务器的链并进行固定。这几乎是不可能的，所以你很可能最终会得到一个不安全的HTTPS连接。

是否从可信CA购买证书。

对于代理服务器和内部服务器之间的连接，您可以实施SSL固定，但与移动客户端相比，它的优先级较低，因为攻击面减少。