Android证书固定咨询：如何避免因证书过期频繁更新APP？

你当前的证书固定方式仅绑定单个证书的SHA256指纹，一旦证书过期更换，APP验证会直接失败，必须通过版本更新解决。可以通过以下方案规避：

• 预存多组合法指纹：初始化CertificatePinner时，同时加入当前证书和未来即将启用的新证书SHA256指纹。证书过期切换后，APP无需更新即可兼容新旧证书。
  修改示例代码如下：

  val certificatePinner: CertificatePinner = CertificatePinner.Builder()
          .add(certificateBase, certificateSHA) // 当前证书指纹
          .add(certificateBase, newCertificateSHA) // 提前加入新证书指纹
          .build()
  builder.certificatePinner(certificatePinner)
  

• 动态更新指纹列表：不在代码中硬编码指纹，而是通过后端接口拉取合法指纹集合，存储到APP本地（如SharedPreferences或数据库）。每次请求前从本地读取指纹构建CertificatePinner，证书更换时后端更新指纹列表，APP拉取后自动适配，无需版本更新。

• 固定证书链上层CA指纹：不固定服务器的叶子证书，改为固定签发该证书的中间CA或根CA的SHA256指纹。只要服务器后续更换的证书仍由同一CA签发，即使叶子证书过期，APP验证依然有效，无需更新。

• PEM公钥固定是否需要更新APP：取决于固定的公钥层级：

  • 若固定服务器自身公钥：服务器更换证书（公钥变更）时，必须更新APP才能加入新公钥。
  • 若固定CA公钥（如签发服务器证书的根CA或中间CA）：只要服务器后续证书仍由该CA签发，即使服务器证书过期更换，公钥固定依然有效，无需更新APP。

• 无需频繁更新APP的证书固定思路：
  不存在绝对“一劳永逸”的固定方式，但可通过以下方式最大化减少更新需求：

  • 固定可信根CA公钥：选择长期稳定、信誉良好的根CA，固定其公钥。只要服务器始终使用该CA签发的证书，APP就无需因证书过期更换而更新。需注意根CA自身的安全性，若根CA密钥泄露则需紧急更新APP。
  • 结合动态更新机制：无论固定服务器公钥还是CA公钥，搭配后端动态下发合法公钥/指纹的机制，都能在密钥变更时无需更新APP，直接通过拉取新信任列表完成适配。

内容的提问来源于stack exchange，提问作者Bhoomika Brahmbhatt