TLS Pinning

El pinning de certificados TLS incrusta en el cliente la clave pública o el hash esperado del certificado y rechaza todos los demás, evitando ataques de intermediario (incluidos certificados falsos emitidos por CAs legítimas).

Propósito

Prevenir ataques de intermediario por adversarios con certificados de CA legítimos (p. ej., gobiernos o CAs comprometidas).

Mecanismo

El cliente preconfigura el hash SPKI (pin) del certificado del servidor. Durante el handshake TLS compara el certificado con el pin y rechaza la conexión si no coincide. Tipos: pin SPKI, pin de cadena de certificados. Común en apps móviles; los navegadores casi nunca fijan porque rotar certificados es difícil.

Casos de uso

Defensa MITM de APIs en apps móviles
Comunicación de dispositivos IoT
Clientes de API de alta seguridad
Comunicación entre servicios

Ejemplos

entrada

pin: sha256/SPKI=abc...

Output

Reject on certificate mismatch

Public key pinning

Errores comunes

Expired pins without updates cause connection failures: Provide backup pins and a rotation policy

Términos relacionados

TLS (Transport Layer Security) proporciona cifrado, integridad y autenticación en la capa de transporte; sustituyó a SSL y sustenta HTTPS, SMTPS y más.

X.509 Certificate

Un certificado X.509 vincula una clave pública a una identidad, firmado por una CA para su verificación, e incluye validez, emisor, sujeto y campos de extensión.

Una CA (autoridad de certificación) es un tercero de confianza que emite certificados digitales que vinculan claves públicas con identidades, actuando como raíz de confianza de la PKI.

References