使用地图、播放服务、分析等的 Android 应用程序中的 SSL 证书固定

Posted 2023-02-24

【中文标题】使用地图、播放服务、分析等的 Android 应用程序中的 SSL 证书固定

【英文标题】：SSL Certificate pinning in Android app that uses maps, play services, analytics etc

【发布时间】：2015-08-26 08:31:07

【问题描述】：

Corresponding issue on github issue tracker

我一直在阅读有关使用 Charles、Fiddler、mitm 等工具防止中间人攻击我的应用程序的大量文章。我喜欢固定服务器的 SSL 证书的想法，因为这意味着所有其他证书都会抛出一个我想要的错误。

但是，该应用使用的库（如谷歌地图、播放服务、分析工具等）必须使用自己的 SSL 证书。这是否意味着我也需要手动固定所有这些库的证书？处理这种情况的常用方法是什么？

【参考方案1】：

不，您不需要固定第三方库的证书，因为它们不使用您的 OkHttpClient 实例和配置的 CertificatePinner。