サーバーとクライアントの両方を制御すると、自己署名証明書を受け入れることができますか？

Question

私はアプリをプロダクションに持っています。それにはJavaクライアントとJavaサーバがあり、どちらも常に同じで、私のチームの管理下にあります。私たちはhttpsを使用しています。

この状況では、自己署名証明書を発行してクライアントで受け入れることはできますか？そこに危険がありますか？

Answer 1

HTTTPSサーバとクライアント間の接続を保護することで、あなただけのサーバーとクライアントの両方を制御することによって、完全にこの接続を制御しません。サーバとクライアントを制御しているという理由だけで自己署名証明書を受け入れると、真ん中の人からの証明書も受け入れられます。つまり、これは安全ではありません。あなたは何ができるか

はハードコードに、クライアントの予想される証明書、すなわち証明書ピニングです。この方法では、この特定の証明書のみを受け入れ、別の証明書を使用して中間の攻撃を受けた人は、不可能です。