Abbiamo un'app mobile che si collega al nostro server tramite i servizi web RESTful HTTPS. Abbiamo anche un utente malintenzionato che emula correttamente la nostra app per comunicare con il nostro server. Pertanto, supponiamo che il nostro aggressore sia in grado di osservare e decrittografare il traffico dell'app utilizzando uno strumento come Fiddler .
A quanto ho capito, Fiddler inserisce un certificato nel mezzo e funge da proxy. Fiddler è in grado di fornire all'utente malintenzionato una versione decrittografata del flusso di dati.
Se blocco dei certificati rimuovi la capacità di un utente malintenzionato di osservare il traffico HTTPS? Con la nostra app mobile in the wild, devo presumere che l'app possa essere installata su un dispositivo rooted / jail-broken.