Pinning

Als je het nou over Public Key Pinning hebt, dat is een compleet ander verhaal en daarbij begrijp ik dat banken erg voorzichtig zijn (ook al hebben ze er veel profijt van).

Daarvoor is dus Certificate pinning nodig dan is een MITM met een vaag certificaat niet mogelijk omdat de Public Key van een website elders gepubliceerd is.

In je client moet je ook verscheidene technieken verwerken zoals SSL pinning, end-to-end encryption en encrypted on-device storage.

Met SSL pinning wordt dit moeilijker maar ook daar is om heen te werken.

Darom dat je meer en meer public key pinning ziet toegepast worden.

Namelijk, sessie verloopt, id per inlog, cert-pinning, etc. Dus het is gelukkig een stuk beter gesteld hier, in ieder geval bij de bank die ik gebruik.

Zou je dan HTTPS met certifciaat-pinning doen, kun je geen updates krijgen.

Zo wordt certifciaat-pinning bijvoorbeeld ook uitgeschakeld bij Chrome voor intra-net ivm anti-malware proxies.

Het bulletin materiaal van Chameleon Pinning Shapes bestaat volledig uit natuurlijke materialen, waarvan 45% gerecycled.