无需使用 SSL 证书即可从 PhoneGap 安全连接到服务器

Question

我想建立一个安全连接，以便从 PhoneGap 应用程序中的数据（需要登录）获取数据。 有没有办法在不购买 ssl 证书的情况下做到这一点？

我是否可以使用自签名证书并将证书（或其指纹）添加到 PhoneGap 应用程序，以便它始终可以检查证书是否正确并且不会发生中间人攻击？

Answer 1

有没有办法在不购买 ssl 证书的情况下做到这一点？

是的。

akirilov 给了你一个答案。

您的另一种选择是使用Startcom 。 他们提供免费的 1 级证书。 他们的证书颁发机构安装在大多数桌面和移动平台上。

使用 CA Zoo 的坏处是只有一个 CA 认证了您的证书（无论是 Startcom、Verisidn 等）。 但是，动物园中的任何 CA 都可以声称是证书颁发机构。 因此，欺骗 CA 或危害 CA 的坏人将能够为您的服务器获取证书。 我们已经看到这两种情况过去都发生过。

您可以通过证书锁定来避免 CA Zoo。 请参阅 OWASP 的证书和公钥固定。

---

我是否可以使用自签名证书并将证书（或其指纹）添加到 PhoneGap 应用程序，以便它始终可以检查证书是否正确并且不会发生中间人攻击？

是的，那也很好。 您的 Phone Gap 应用程序将需要执行证书验证，并接受您的自签名证书。

要在 .Net、Java、iOS 等中执行类似操作，您需要固定服务器的证书，因为您事先知道它是什么。 不过，我不知道如何在 PhoneGap 中做到这一点。

有关在 .Net、Java、iOS 等中固定的信息，请参阅 OWASP 的证书和公钥固定。 有适用于主要平台（包括 OpenSSL）的示例代码。