第2章 证书固定核心概念：固定目的、固定方式、与证书验证的区别、安全边界

证书固定（Certificate Pinning）是移动端与服务器通信时，绕过系统根证书信任链，直接锁定某一张特定证书、公钥或哈希值的强化安全策略。本章从四个维度拆解其核心原理：固定目的、固定方式、与标准证书验证的本质区别、以及安全边界。学完本章后，你将能够准确判断何时需要用证书固定、选择哪种固定方式，并避免常见的安全盲区。

2.1 固定目的：为什么要“锁死”证书？

标准 HTTPS 验证依赖系统内置的 CA（证书颁发机构）信任链。然而该机制存在以下风险：

• CA 被攻破或滥用：例如 DigiNotar、Comodo 等事件，攻击者可签发任意域名的假证书。
• 中间人攻击（MITM）设备：企业代理、沙箱或恶意 WiFi 在设备中安装自签名根证书，可解密所有流量。
• 系统信任存储被篡改：Root 设备或低版本系统中，攻击者可添加恶意根证书。

证书固定的目的正是消除对外部 CA 的依赖，将信任锚点控制在应用开发者手中。即使 CA 被攻破，固定了特定公钥的应用仍能发现异常并拒绝连接。

2.2 固定方式的三种主流实现

根据锁定粒度的不同，证书固定分为以下三种方式。下表列出核心差异：

其中，公钥固定是绝大多数生产环境的首选方案，因为它允许证书续签（只要密钥对不变）而无需强制用户更新 App。Android 开发中，OkHttp 的 CertificatePinner 即基于公钥哈希实现：

// OkHttp 证书固定示例（公钥 SHA-256 哈希）
String hostname = "api.example.com";
String pin = "sha256/AAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAA=";

CertificatePinner certificatePinner = new CertificatePinner.Builder()
    .add(hostname, pin)
    .build();

OkHttpClient client = new OkHttpClient.Builder()
    .certificatePinner(certificatePinner)
    .build();

2.3 与标准证书验证的核心区别

标准 HTTPS 验证（基于 X.509 信任链）和证书固定的工作流对比可以用下图清晰揭示：

从上图可见：标准验证的核心是信任链传递，只要服务器证书能被某个系统信任的根 CA 链式验证通过即可；而证书固定的核心是精确匹配，它不信任任何第三方 CA，只认预先植入的固定值。因此，即使攻击者持有有效 CA 签发的假证书，也会在第三步被拒绝。

2.4 安全边界：固定不是的“免死金牌”

证书固定虽然强悍，但存在以下必须意识到的安全边界与风险：

1. 固定数据泄露风险：固定值（公钥哈希、证书内容）被硬编码在 App 中，攻击者可反编译提取。一旦获取，攻击者无法立即利用该值伪造连接（因为固定值不包含私钥），但可发起“固定值替换攻击”——将恶意服务器的固定值替换进 App 内存。因此建议固定值至少占用 256 位（SHA-256 哈希）并存储在代码混淆或 NDK 层。
2. 固定失效（Pinning Failure）的管理：当服务器轮换密钥或证书时，若 App 未及时更新固定值，所有用户将无法连接。安全边界要求至少保留一个备用固定值（Backup Pin），且将旧固定值作为备份保留一个轮换周期。OkHttp 支持添加多个固定值：

// 备份固定策略：同时固定新旧两个公钥哈希
CertificatePinner pinner = new CertificatePinner.Builder()
    .add("api.example.com", "sha256/AAAA...", "sha256/BBBB...")
    .build();

3. 与系统 CA 信任链的冲突：证书固定不会阻止系统 CA 被篡改——它仅仅是应用层的行为。如果攻击者 Hook 了 SSL 库的验证回调，仍可能绕过固定逻辑。因此，证书固定的安全边界依赖于代码自身的完整性与反篡改能力（如 SafetyNet / Play Integrity）。
4. 性能与运维成本：每次证书更新需发版或通过远程配置推送新的固定值；若采用公钥固定，建议备份密钥对并存储在硬件安全模块（HSM）中。