Ders 3.30: Ağ güvenliği: HTTPS, güvenilen sertifikalar ve sabitleme
Bir uygulama sunucularıyla denetlemediğin ağlar üzerinden konuşur; bu yüzden her bağlantı TLS kullanmalı ve yalnızca doğru sertifikalara güvenmelidir. Android'in ağ güvenliği yapılandırması bunu denetler: düz HTTP'ye izin verilip verilmediğini, hangi sertifika yetkililerine güvenildiğini (sistemin olanlara mı, yoksa kullanıcının kurduklarına da mı) ve isteğe bağlı olarak belirli anahtarlara sabitlemeyi (pinning). Laboratuvarda Northwind Shop'un yapılandırmasını okuyor, hazırlık sunucusu için açık metne izin verildiğini, sürümde kullanıcının kurduğu CA'lara güvenildiğini ve bir yılı aşkın süre önce süresi dolmuş bir sabitleme kümesini buluyor; hata ayıklama derlemesinin günlüğünde belirtecin HTTP üzerinden gittiğini görüyor ve kaynağa düzeltilmiş bir yapılandırma koyuyorsun.
18 dk
Bu derste öğreneceklerin
- Açık metin trafiği, güven çapalarını ve sabitlemeyi açıklamak
- Bir ağ güvenliği yapılandırmasını okumak
- Süresi dolmuş bir sabitleme kümesini fark etmek
- Günlüklerde açık metin trafiğini görmek
- Düzeltilmiş bir yapılandırma uygulamak
Temel terimler
- Açık metin trafik
- http:// gibi şifresiz bağlantılar.
- Güven çapaları
- Uygulamanın sertifikalarını kabul ettiği CA'lar: sistem CA'ları ve isteğe bağlı olarak kullanıcının kurdukları.
- Sertifika sabitleme (pinning)
- Yalnızca açık anahtarı bilinen bir özetle eşleşen sertifikaları kabul etmek.
- debug-overrides
- Yalnızca hata ayıklanabilir derlemelere uygulanan ağ yapılandırması bölümü.
- Ortadaki makine
- Uygulamayla sunucu arasındaki trafiği aktaran ve okuyan bir saldırgan.
← Özetler, itibar ve varyantlar · Tüm dersler · IPv6: yeni nesil adresler →