Что по-прежнему блокирует certificate pinning

На iOS расшифровка зависит от того, установлен ли профиль Busymate и включено ли для него полное доверие в настройках — после этого каждое приложение на телефоне доверяет сертификату, который предъявляет приложение, кроме тех, что используют pinning. На Android два хранилища: пользовательское, которое с Android 7.0 учитывают только явно разрешившие его приложения, и системное, которое учитывают все приложения, но записать в него может только рутованное устройство. Настольный прокси использует то доверие, которое клиентская машина или браузер оказывают его сгенерированному центру.

Pinning стоит над всеми тремя. Приложение с pinning отвергает подменный сертификат, из какого бы хранилища он ни пришёл, поэтому перенос сертификата в более сильное хранилище никогда не помогает против хоста с pinning. Он помогает только против приложений, отказывавшихся от пользовательского хранилища.

Хост, который вы не внесли в список расшифровки, показывает закрытый замок с одним лишь именем и счётчиком запросов — так задумано, это не pinning. Хост с pinning выглядит иначе: он в вашем списке, расшифровка была предпринята, и соединение оборвалось или приложение попробовало ещё раз и сдалось. У фильтра инспекции в ленте дашборда три положения — только расшифрованные, только зашифрованные и только с SSL pinning — и последнее выделяет именно эти строки.

Второй признак — поведение: приложение перестаёт работать для этого хоста, как только он расшифровывается, и снова работает, как только вы убираете хост из списка. Если верно и то и другое, вы нашли соединение с pinning.

Приложение для iOS перехватывает трафик всей системы по Wi-Fi и сотовой сети и расшифровывает хосты из вашего списка. Против приложения с pinning оно по-прежнему записывает каждое соединение — хост, тайминги, число и размер запросов, активный режим подключения, — но не может выдать ни заголовки, ни тело, и никакой переключатель этого не изменит. Включение MITM All Hosts расшифровывает все хосты без pinning; для хоста с pinning оно лишь ломает его.

Практичный ход — убрать хост с pinning из списка, чтобы приложение продолжало работать, оставить остальные его хосты в списке и читать то, что раскрывают незакреплённые эндпоинты. Многие приложения закрепляют только хост аутентификации или платежей, а остальное оставляют открытым.

На Android без root сертификат, сгенерированный приложением, живёт в пользовательском хранилище, поэтому расшифровываются только ваши отладочные сборки и другие разрешившие его клиенты; все прочие приложения записываются как метаданные. На рутованном устройстве сертификат можно установить в системное хранилище, и HTTPS становится расшифровываемым во всей системе — за исключением pinning отдельных приложений. Именно поэтому ферма телефонов держит свои Android-устройства на этом рутованном уровне.

Итак, root превращает один класс непрозрачных приложений в читаемые — те, что просто игнорировали пользовательское хранилище, — и не трогает класс с pinning. Busymate никогда не заявляет о расшифровке всей системы на устройстве без root и никогда не заявляет, что pinning побеждён на рутованном.

У настольного прокси те же отношения с pinning, что и у мобильных приложений: закреплённый клиент отвергает его сгенерированный сертификат, и соединение обрывается. Кроме того, у прокси есть короткий список хостов, которые он никогда не перехватывает, что бы ни говорили ваши настройки SSL proxy — собственная PKI и эндпоинты отзыва Apple, респондеры статуса сертификатов из цепочки Apple и бэкенд самого Busymate, — потому что их перехват сломал бы устройство или живое соединение дашборда. Они проходят как сырые туннели, и это намеренно, а не ошибка конфигурации.

Есть один путь перехвата, для которого pinning не имеет значения. Коннектор командной строки запускает экземпляр Chrome и читает его трафик через DevTools Protocol, на браузерной стороне TLS. Зашифрованное соединение между Chrome и сервером не затрагивается — нет подменного сертификата, который можно отвергнуть, нечего устанавливать, и pinning нечего обнаруживать. Потоки входа у провайдеров, чьи закреплённые сертификаты прокси не может открыть, записываются от начала до конца, включая редиректы и токены.

Цена — охват: он покрывает то, что работает внутри этого Chrome, а не нативное приложение. Если у нужного вам потока есть веб-версия, именно этот путь увидит её полностью.

Метаданные — это не ничто. Вы по-прежнему видите, когда приложение обращается к закреплённому хосту, как часто, насколько велики обмены и сколько они длятся, и можете сопоставить это с расшифрованными вызовами вокруг. Правила блокировки всё так же срабатывают на уровне хоста для зашифрованного хоста — путь невидим, но можно заставить приложение вести себя так, будто этот эндпоинт недоступен, а это часто именно тот сценарий отказа, который вы хотели проверить. Паузы позволяют хосту полностью обходить прокси, чтобы приложение продолжало работать, пока вы изучаете всё остальное.

И каждое ваше действие попадает в журнал аудита, так что сессия исследования оставляет запись о том, что было расшифровано, что заблокировано и что оставлено в покое.