Certificate Pinning

Définition

Le Certificate Pinning (ou Public Key Pinning) est une technique de sécurité TLS qui consiste à associer de manière statique, dans le code d'une application ou d'un client, le certificat ou la clé publique spécifique(s) attendu(s) lors de la connexion à un service. Plutôt que de faire confiance à tout certificat valide signé par une autorité de certification (CA) de confiance, l'application vérifie que le certificat présenté correspond exactement à celui ou ceux préalablement configurés. L'objectif principal du pinning est de protéger contre les attaques man-in-the-middle (MITM) qui utiliseraient un certificat valide mais non autorisé — par exemple, un certificat émis par une CA compromise ou malveillante, ou par un proxy d'inspection SSL déployé dans un réseau d'entreprise sans connaissance du client. Sans pinning, un attaquant qui peut insérer sa propre CA dans le magasin de confiance du système d'exploitation peut intercepter le trafic TLS de toutes les applications. Il existe deux variantes de pinning. Certificate Pinning : l'application pin le certificat complet — toute modification (renouvellement, changement de clé) invalide le pin et bloque les connexions. Public Key Pinning : l'application pin uniquement la clé publique — le certificat peut être renouvelé (avec la même clé) sans casser le pin. La deuxième approche est plus flexible pour la gestion opérationnelle. Les défis opérationnels du pinning sont significatifs. Un pin incorrect ou obsolète bloque toutes les connexions de l'application vers le service concerné — potentiellement toutes les fonctionnalités si le pin concerne le serveur API principal. La gestion du cycle de vie (mise à jour des pins lors du renouvellement de certificats) est complexe et nécessite des mises à jour de l'application. HPKP (HTTP Public Key Pinning) — le standard de pinning pour les navigateurs web via headers HTTP — a été déprécié par Google Chrome en 2018 précisément à cause de risques de lockout permanent des sites web. Le pinning est aujourd'hui recommandé principalement pour les applications mobiles natives (iOS/Android) qui communiquent avec des backends connus, et pour les applications à haute sécurité (banking apps, VPN clients) où le risque MITM justifie la complexité opérationnelle. Pour les navigateurs web grand public, le Certificate Transparency (CT) est privilégié comme mécanisme de détection des certificats frauduleux sans les risques de lockout du pinning.