Usiamo il pin cert durante lo sviluppo per iOS e Android. Utilizziamo regolarmente certificati di 12 mesi pagati.
Recentemente siamo passati a Lets Encrypt (LE) per i nostri certificati generali del sito Web e vorremmo utilizzare anche i certificati LE nelle nostre app mobili.
Il problema è che il nostro attuale quadro di certificazione dei certificati richiede che l'app venga reinoltrata con ogni nuovo certificato, quindi se si utilizza LE questo sarebbe ogni 3 mesi (la lunghezza massima di un certificato LE). Questo non è pratico.
Ho ricercato alternative e il più praticabile sembra essere l'hashing della chiave pubblica. Quindi chiedi al server di ottenere il certificato, estrai la chiave pubblica e confronta con un hash che abbiamo memorizzato nel binario dell'app.
Questo metodo significa che dovremmo creare manualmente la richiesta di firma del certificato (CSR) utilizzata per LE, poiché attualmente ne crea uno nuovo con ogni richiesta di certificato, al fine di mantenere l'accoppiamento della chiave originale.
La mia domanda: questa chiave pubblica ha la migliore soluzione per un certificato a lungo termine che si blocca all'interno di un'app mobile?