Qué sigue bloqueando el certificate pinning

En iOS, el descifrado depende de que el perfil de Busymate esté instalado y tenga confianza total en Ajustes; a partir de ahí, todas las apps del teléfono confían en el certificado que presenta la app, salvo las que fijan el suyo. En Android hay dos almacenes: el de usuario, que desde Android 7.0 solo respetan las apps que lo permiten explícitamente, y el del sistema, que respetan todas las apps pero en el que solo un dispositivo con root puede escribir. El proxy de escritorio usa la confianza que la máquina o el navegador cliente tengan en su autoridad generada.

El pinning está por encima de los tres. Una app que fija su certificado rechaza el sustituto venga del almacén que venga, así que mover un certificado a un almacén más fuerte nunca ayuda contra un host con pinning. Solo ayuda contra las apps que rechazaban el almacén de usuario.

Un host que no has puesto en la lista de descifrado muestra un candado cerrado con solo el nombre y un contador de peticiones: es por diseño, no pinning. Un host con pinning se ve distinto: está en tu lista, se intentó descifrar, y la conexión falló o la app reintentó y se rindió. El filtro de inspección del feed del dashboard tiene tres opciones —solo descifrados, solo cifrados y solo con SSL pinning— y la última aísla exactamente esas filas.

La otra señal es de comportamiento: la app deja de funcionar para ese host en cuanto se descifra, y vuelve a funcionar en cuanto quitas el host de la lista. Si se cumplen ambas, has encontrado una conexión con pinning.

La app de iOS captura todo el sistema, por Wi-Fi y datos móviles, y descifra los hosts que listas. Frente a una app con pinning sigue registrando cada conexión —el host, los tiempos, el número y tamaño de las peticiones, el modo de conexión activo— pero no puede producir las cabeceras ni el cuerpo, y no hay interruptor que lo cambie. Activar MITM All Hosts descifra todos los hosts sin pinning; con uno con pinning no hace nada salvo romperlo.

Lo práctico es quitar el host con pinning de la lista para que la app siga funcionando, mantener el resto de sus hosts en ella y leer lo que revelan los endpoints sin pinning. Muchas apps fijan solo su host de autenticación o de pagos y dejan el resto abierto.

En un teléfono Android sin root, el certificado generado por la app vive en el almacén de usuario, así que solo se descifran tus propias compilaciones de depuración y otros clientes que lo permiten; el resto de apps se registran como metadatos. En un dispositivo con root el certificado puede instalarse en el almacén del sistema, y el HTTPS se vuelve descifrable en todo el sistema, salvo por el pinning de cada app. La granja de teléfonos ejecuta sus dispositivos Android en ese nivel con root exactamente por eso.

Así que el root convierte una clase de apps opacas en legibles —las que simplemente ignoraban el almacén de usuario— y deja intacta la clase con pinning. Busymate nunca afirma descifrar todo el sistema en un dispositivo sin root, ni afirma que el pinning se vence en uno con root.

El proxy de escritorio tiene la misma relación con el pinning que las apps del teléfono: un cliente con pinning rechaza su certificado generado y la conexión falla. Además lleva una lista corta de hosts que nunca intercepta, digan lo que digan tus ajustes de SSL proxy —la PKI y los endpoints de revocación de Apple, los respondedores de estado de certificados que usa la cadena de Apple y el propio backend de Busymate— porque interceptarlos rompería el dispositivo o la conexión en vivo del dashboard. Pasan como túneles en bruto, y es intencional, no una mala configuración.

Hay una vía de captura en la que el pinning es irrelevante. El conector de línea de comandos lanza una instancia de Chrome y lee su tráfico a través del DevTools Protocol, del lado del navegador de TLS. La conexión cifrada entre Chrome y el servidor nunca se toca: no hay certificado sustituto que rechazar, nada que instalar y nada que el pinning pueda detectar. Los flujos de inicio de sesión de proveedores cuyos certificados fijados un proxy no puede abrir se registran de principio a fin, redirecciones y tokens incluidos.

La contrapartida es el alcance: cubre lo que se ejecuta dentro de ese Chrome, no una app nativa. Si el flujo que te importa tiene versión web, esta es la vía que lo ve completo.

Los metadatos no son nada. Sigues viendo cuándo la app habla con el host con pinning, con qué frecuencia, cuánto pesan los intercambios y cuánto tardan, y puedes correlacionarlo con las llamadas descifradas de alrededor. Las reglas de bloqueo siguen coincidiendo a nivel de host en un host cifrado —la ruta es invisible, pero puedes hacer que la app se comporte como si ese endpoint fuera inalcanzable, que a menudo es justo el modo de fallo que querías probar—. Las pausas dejan que el host evite el proxy por completo para que la app siga funcionando mientras inspeccionas todo lo demás.

Y cada acción que tomaste queda en el registro de auditoría, así que una sesión de investigación deja constancia de qué se descifró, qué se bloqueó y qué se dejó en paz.