Я хочу закрепить открытый ключ моего сервера, чтобы любой запрос, сделанный к серверу, должен был иметь этот открытый ключ (это сделано для предотвращения прокси, таких как Чарльз, обнюхивать данные).
Я проделал нечто подобное в Android с помощью Volley.
Как я могу сделать то же самое с Flutter?
Создайте своего клиента с SecurityContext без доверенных корней, чтобы принудительно выполнить обратный вызов неверного сертификата, даже для хорошего сертификата.
SecurityContext(withTrustedRoots: false);
В обратном вызове неверного сертификата проанализируйте сертификат, закодированный в DER, с помощью пакета asn1lib. Например:
ASN1Parser p = ASN1Parser(der);
ASN1Sequence signedCert = p.nextObject() as ASN1Sequence;
ASN1Sequence cert = signedCert.elements[0] as ASN1Sequence;
ASN1Sequence pubKeyElement = cert.elements[6] as ASN1Sequence;
ASN1BitString pubKeyBits = pubKeyElement.elements[1] as ASN1BitString;
List<int> encodedPubKey = pubKeyBits.stringValue;
// could stop here and compare the encoded key parts, or...
// parse them into their modulus/exponent parts, and test those
// (assumes RSA public key)
ASN1Parser rsaParser = ASN1Parser(encodedPubKey);
ASN1Sequence keySeq = rsaParser.nextObject() as ASN1Sequence;
ASN1Integer modulus = keySeq.elements[0] as ASN1Integer;
ASN1Integer exponent = keySeq.elements[1] as ASN1Integer;
print(modulus.valueAsBigInteger);
print(exponent);
badCertificateCallback вызывается с родительским сертификатом (сертификат эмитента Lets Encrypt)
- person Harsh Bhikadia; 13.11.2019
badCertificateCallback не будет вызываться с вашим сертификатом, а с сертификатом ЦС, что является неожиданным поведением, для которого я подал проблема
- person Harsh Bhikadia; 24.04.2020
Ротация ключей снижает риск. Когда злоумышленник получает старый жесткий диск сервера или файл резервной копии и получает от него закрытый ключ старого сервера, он не может олицетворять текущий сервер, если ключ был изменен. Поэтому всегда генерируйте новый ключ при обновлении сертификатов. Настройте клиент, чтобы доверять старому ключу и новому ключу. Подождите, пока ваши пользователи обновятся до новой версии клиента. Затем разверните новый ключ на своих серверах. Затем вы можете удалить старый ключ с клиента.
Закрепление ключа сервера необходимо только в том случае, если вы не меняете ключи. Это плохая практика безопасности.
Вы должны сделать закрепление сертификата с вращением. Я добавил пример кода в Как выполнить закрепление SSL с помощью самогенерируемых подписанных сертификатов во флаттере?
