Cosa blocca ancora il certificate pinning

Su iOS la decifratura dipende dal profilo Busymate installato e con fiducia completa nelle Impostazioni — da lì ogni app sul telefono si fida del certificato presentato dall'app, tranne quelle che fanno pinning. Su Android ci sono due archivi: quello utente, che da Android 7.0 rispettano solo le app che lo consentono esplicitamente, e quello di sistema, che rispettano tutte le app ma in cui può scrivere solo un dispositivo con root. Il proxy desktop usa la fiducia che la macchina o il browser client ripongono nella sua autorità generata.

Il pinning sta sopra tutti e tre. Un'app che fa pinning rifiuta il certificato sostitutivo da qualunque archivio provenga, quindi spostare un certificato in un archivio più forte non aiuta mai contro un host con pinning. Aiuta solo contro le app che rifiutavano l'archivio utente.

Un host che non hai messo in lista per la decifratura mostra un lucchetto chiuso con solo il nome e un contatore di richieste — è voluto, non è pinning. Un host con pinning ha un aspetto diverso: è nella tua lista, la decifratura è stata tentata, e la connessione è fallita oppure l'app ha riprovato e ha rinunciato. Il filtro di ispezione del feed della dashboard ha tre opzioni — solo decifrati, solo cifrati e solo con SSL pinning — e l'ultima isola esattamente quelle righe.

L'altro segnale è comportamentale: l'app smette di funzionare per quell'host nel momento in cui viene decifrato, e ricomincia nel momento in cui togli l'host dalla lista. Se valgono entrambe, hai trovato una connessione con pinning.

L'app iOS cattura a livello di sistema, via Wi-Fi e rete cellulare, e decifra gli host che elenchi. Di fronte a un'app con pinning registra comunque ogni connessione — l'host, i tempi, il numero e la dimensione delle richieste, la modalità di connessione in uso — ma non può produrre header né body, e nessun interruttore lo cambia. Attivare MITM All Hosts decifra ogni host senza pinning; su uno con pinning non fa nulla se non romperlo.

La mossa pratica è togliere l'host con pinning dalla lista così che l'app continui a funzionare, tenere in lista gli altri host dell'app e leggere ciò che rivelano gli endpoint senza pinning. Molte app fanno pinning solo sull'host di autenticazione o di pagamento e lasciano aperto il resto.

Su un telefono Android senza root il certificato generato dall'app vive nell'archivio utente, quindi si decifrano solo le tue build di debug e gli altri client che lo consentono; ogni altra app viene registrata come metadati. Su un dispositivo con root il certificato può essere installato nell'archivio di sistema, e l'HTTPS diventa decifrabile a livello di sistema — tranne il pinning delle singole app. La farm di telefoni esegue i suoi dispositivi Android proprio a quel livello con root per questo motivo.

Il root trasforma quindi una classe di app opache in leggibili — quelle che ignoravano semplicemente l'archivio utente — e lascia intatta la classe con pinning. Busymate non dichiara mai una decifratura a livello di sistema su un dispositivo senza root, né dichiara di superare il pinning su uno con root.

Il proxy desktop ha con il pinning lo stesso rapporto delle app per telefono: un client con pinning rifiuta il certificato generato e la connessione fallisce. Porta inoltre una breve lista di host che non intercetta mai, qualunque cosa dicano le tue impostazioni SSL proxy — la PKI e gli endpoint di revoca di Apple, i responder di stato dei certificati usati dalla catena di Apple, e il backend stesso di Busymate — perché intercettarli romperebbe il dispositivo o la connessione live della dashboard. Passano come tunnel grezzi, ed è intenzionale, non una configurazione errata.

C'è una via di cattura in cui il pinning è irrilevante. Il connettore da riga di comando avvia un'istanza di Chrome e ne legge il traffico tramite il DevTools Protocol, dal lato browser del TLS. La connessione cifrata tra Chrome e il server non viene mai toccata — non c'è alcun certificato sostitutivo da rifiutare, nulla da installare e nulla che il pinning possa rilevare. I flussi di login su provider i cui certificati fissati un proxy non può aprire vengono registrati dall'inizio alla fine, redirect e token inclusi.

Il prezzo è la portata: copre ciò che gira dentro quel Chrome, non un'app nativa. Se il flusso che ti interessa ha una versione web, questa è la via che lo vede per intero.

I metadati non sono niente. Vedi comunque quando l'app parla con l'host con pinning, quanto spesso, quanto pesano gli scambi e quanto durano, e puoi correlarli con le chiamate decifrate intorno. Le regole di blocco corrispondono ancora a livello di host su un host cifrato — il percorso è invisibile, ma puoi far comportare l'app come se quell'endpoint fosse irraggiungibile, che spesso è esattamente la modalità di errore che volevi testare. Le pause permettono all'host di bypassare del tutto il proxy così l'app continua a funzionare mentre ispezioni tutto il resto.

E ogni azione che hai compiuto è nel registro di audit, così una sessione di ricerca lascia traccia di cosa è stato decifrato, cosa bloccato e cosa lasciato stare.