Https vs ssl pinning

Question

我想知道常規SSL協議與SSL pining的區別。 通過設置https，我們可以使用SSL加密請求。 中間攻擊的人將無法看到原始有效載荷。 我也知道SSL釘扎是另一種防止中間人攻擊的方法。 但我的問題是，如果代理將始終只在https協議下看到加密數據，為什么我們仍然需要在客戶端捆綁證書並具有SSL固定？ SSL pining給我們帶來了什么好處？

Answer 1

證書鎖定意味着客戶端具有“內置”服務器證書，並且不使用計算機的可信存儲。 這意味着即使您的IT部門安裝了自己的根證書，也不會使用它。

一個特別聰明的IT部門可以在您的計算機上安裝他們的根證書，使用像查爾斯這樣的代理來動態創建假的站點證書，並動態地重新編寫下載的程序，取代固定的證書，但大多數都不復雜足以做到最后一步。

你也許可以從家里下載軟件，在這種情況下，固定的證書就可以了，IT部門永遠不會看到傳輸內容。