無需使用 SSL 證書即可從 PhoneGap 安全連接到服務器

Question

我想建立一個安全連接，以便從 PhoneGap 應用程序中的數據（需要登錄）獲取數據。 有沒有辦法在不購買 ssl 證書的情況下做到這一點？

我是否可以使用自簽名證書並將證書（或其指紋）添加到 PhoneGap 應用程序，以便它始終可以檢查證書是否正確並且不會發生中間人攻擊？

Answer 1

有沒有辦法在不購買 ssl 證書的情況下做到這一點？

是的。

akirilov 給了你一個答案。

您的另一種選擇是使用Startcom 。 他們提供免費的 1 級證書。 他們的證書頒發機構安裝在大多數桌面和移動平台上。

使用 CA Zoo 的壞處是只有一個 CA 認證了您的證書（無論是 Startcom、Verisidn 等）。 但是，動物園中的任何 CA 都可以聲稱是證書頒發機構。 因此，欺騙 CA 或危害 CA 的壞人將能夠為您的服務器獲取證書。 我們已經看到這兩種情況過去都發生過。

您可以通過證書鎖定來避免 CA Zoo。 請參閱 OWASP 的證書和公鑰固定。

---

我是否可以使用自簽名證書並將證書（或其指紋）添加到 PhoneGap 應用程序，以便它始終可以檢查證書是否正確並且不會發生中間人攻擊？

是的，那也很好。 您的 Phone Gap 應用程序將需要執行證書驗證，並接受您的自簽名證書。

要在 .Net、Java、iOS 等中執行類似操作，您需要固定服務器的證書，因為您事先知道它是什么。 不過，我不知道如何在 PhoneGap 中做到這一點。

有關在 .Net、Java、iOS 等中固定的信息，請參閱 OWASP 的證書和公鑰固定。 有適用於主要平台（包括 OpenSSL）的示例代碼。