{"id":3758,"date":"2017-06-21T10:00:37","date_gmt":"2017-06-21T17:00:37","guid":{"rendered":"https:\/\/www.couchbase.com\/blog\/?p=3758"},"modified":"2025-06-13T23:06:18","modified_gmt":"2025-06-14T06:06:18","slug":"certificate-pinning-couchbase-mobile-ios-app","status":"publish","type":"post","link":"https:\/\/www.couchbase.com\/blog\/pt\/certificate-pinning-couchbase-mobile-ios-app\/","title":{"rendered":"Fixa\u00e7\u00e3o de certificados em seu aplicativo Couchbase Mobile iOS"},"content":{"rendered":"

A comunica\u00e7\u00e3o entre o Couchbase Lite e o Sync Gateway \u00e9 criptografada e protegida usando SSL\/TLS<\/a>. O protocolo SSL\/TLS se baseia em uma infraestrutura de chave p\u00fablica (PKI<\/a>) usando um mecanismo Certificado X.509<\/a> para estabelecer a identidade do servidor do Sync Gateway. Normalmente, o certificado \u00e9 emitido\/assinado por uma Autoridade de Certifica\u00e7\u00e3o confi\u00e1vel e \u00e9 instalado no Sync Gateway. Em um ambiente de desenvolvimento, esse certificado pode ser autoassinado.
\nSe a confiabilidade do certificado for comprometida de alguma forma ou se voc\u00ea estiver usando um certificado autoassinado, a identidade do servidor n\u00e3o poder\u00e1 ser estabelecida de forma confi\u00e1vel e n\u00e3o haver\u00e1 garantias de confidencialidade na comunica\u00e7\u00e3o entre o cliente e o servidor.
\nPara aliviar esses problemas, o Couchbase Lite oferece suporte \u00e0 fixa\u00e7\u00e3o de certificados. A fixa\u00e7\u00e3o de certificados \u00e9 uma t\u00e9cnica que pode ser usada por aplicativos para \"fixar\" um host em seu certificado\/chave p\u00fablica. Em geral, o certificado \u00e9 entregue ao cliente por um canal fora de banda e empacotado com o cliente. Ao fixar o certificado, o aplicativo cliente verificador n\u00e3o precisa mais depender de uma terceira parte confi\u00e1vel para verificar a assinatura, e essa t\u00e9cnica tamb\u00e9m funciona com certificados autoassinados.
\nEsta postagem abordar\u00e1 como fixar certificados em seu aplicativo cliente iOS Coucbase Lite.<\/p>\n

<\/p>\n

Vers\u00e3o 1.4<\/a>\u00a0do Couchbase Lite suporta apenas a fixa\u00e7\u00e3o de certificados no iOS. O pr\u00f3ximo Vers\u00e3o 2.0<\/a> (agora no Developer Preview) oferecer\u00e1 suporte \u00e0 fixa\u00e7\u00e3o em todas as plataformas m\u00f3veis compat\u00edveis. Os trechos de c\u00f3digo discutidos nesta postagem se aplicam ao vers\u00e3o de produ\u00e7\u00e3o atual<\/a> do Couchbase Lite. Fique atento a uma futura postagem no blog sobre a fixa\u00e7\u00e3o de certificados na vers\u00e3o 2.0.<\/p>\n

O problema<\/h2>\n

A comunica\u00e7\u00e3o entre o Couchbase Lite e o Sync Gateway \u00e9 criptografada usando SSL\/TLS<\/a>.<\/p>\n

Em um n\u00edvel muito alto, o protocolo TLS funciona da seguinte forma.
\nUm certificado X.509 contendo a chave p\u00fablica e a identidade do servidor \u00e9 instalado no Sync Gateway. Esse certificado de chave p\u00fablica pode ser assinado por uma Autoridade de Certifica\u00e7\u00e3o de terceiros confi\u00e1vel ou pode ser autoassinado, sendo este \u00faltimo o caso mais comum em ambientes de desenvolvimento.
\nDurante o estabelecimento da conex\u00e3o, o aplicativo cliente que executa o Couchbase Lite verifica a identidade do Sync Gateway usando o certificado do servidor. O Couchbase Lite usa o certificado raiz da CA confi\u00e1vel para validar o certificado. Uma vez verificado, o cliente prossegue com a troca de chaves secretas. O segredo compartilhado \u00e9 ent\u00e3o usado para criptografar a comunica\u00e7\u00e3o entre o cliente e o Sync Gateway.
\n\"Basic
\nConsulte o RFC<\/a> para obter informa\u00e7\u00f5es espec\u00edficas sobre o protocolo SSL\/TLS.<\/p>\n

H\u00e1 alguns problemas com essa abordagem :-.
\n- Embora, na maioria das circunst\u00e2ncias, seja razo\u00e1vel confiar na confiabilidade da CA, \u00e9 poss\u00edvel que a pr\u00f3pria CA seja comprometida. Se isso acontecer, n\u00e3o haver\u00e1 uma maneira confi\u00e1vel de autenticar o Sync Gateway porque a CA usada para a verifica\u00e7\u00e3o em si n\u00e3o \u00e9 confi\u00e1vel!
\n- A comunica\u00e7\u00e3o cliente-servidor pode estar sujeita a um ataque MiTM (Man-in-the-Middle), por meio do qual um servidor desonesto que se faz passar por Sync Gateway pode emitir um certificado falso representando o Sync Gateway, assinado por uma CA falsa. Se, de alguma forma, o cliente for induzido a incluir o certificado da CA falsa em seu armazenamento de autoridade de certifica\u00e7\u00e3o raiz confi\u00e1vel, o cliente confiar\u00e1 no certificado falso assinado pela CA falsa. Isso far\u00e1 com que o cliente se comunique com um Sync Gateway falso.
\n- Se voc\u00ea estiver usando certificados autoassinados em seu ambiente de desenvolvimento, n\u00e3o h\u00e1 como o cliente validar de forma confi\u00e1vel a identidade do servidor.<\/p>\n

Uma solu\u00e7\u00e3o - Fixa\u00e7\u00e3o de certificados<\/h2>\n

Uma maneira comum de lidar com os problemas acima \u00e9 \"fixar\" o servidor Sync Gateway em seu certificado\/chave p\u00fablica. Nessa t\u00e9cnica, o Couchbase Lite \u00e9 pr\u00e9-configurado com o certificado confi\u00e1vel do Sync Gateway. Portanto, durante o estabelecimento da conex\u00e3o, o Couchbase Lite usa esse certificado pr\u00e9-configurado para verificar a identidade do servidor. Isso elimina a depend\u00eancia de uma CA externa de terceiros para a verifica\u00e7\u00e3o do certificado.
\nO Site da OWASP<\/a> \u00e9 uma boa refer\u00eancia sobre a fixa\u00e7\u00e3o de certificados.<\/p>\n

Advert\u00eancia<\/h2>\n

\u00c9 importante observar que, como os aplicativos s\u00e3o empacotados com o certificado, toda vez que o certificado expira, o aplicativo precisa ser atualizado com o novo certificado. Isso pode ser um pouco mais desafiador em ambientes m\u00f3veis, nos quais os lan\u00e7amentos de aplicativos podem exigir revis\u00f5es da App Store e o \u00f4nus de atualizar os aplicativos recai sobre os usu\u00e1rios. Portanto, esteja ciente de quando os certificados expiram e fa\u00e7a planos apropriados para publicar os aplicativos com os novos certificados.<\/p>\n

Hist\u00f3rico<\/h2>\n

A pilha do Couchbase Mobile inclui o Couchbase Lite<\/a> banco de dados incorporado executado localmente em dispositivos e Gateway de sincroniza\u00e7\u00e3o<\/a> na nuvem, que normalmente \u00e9 apoiada por Servidor Couchbase<\/a> persistindo os dados na nuvem. O Sync Gateway lida com a replica\u00e7\u00e3o de documentos entre os dispositivos.<\/p>\n

Instala\u00e7\u00e3o do certificado no Sync Gateway<\/h3>\n

Siga as instru\u00e7\u00f5es na se\u00e7\u00e3o Portal do desenvolvedor do Couchbase<\/a> para instalar o certificado de servidor relevante em seu Sync Gateway<\/p>\n

Alguns pontos a serem observados durante a gera\u00e7\u00e3o do certificado
\n- O certificado e a chave privada correspondente devem estar no formato .pem
\n- Instale os certificados em um local acess\u00edvel ao Sync Gateway
\n- Se voc\u00ea estiver gerando um certificado autoassinado, provavelmente o campo mais importante \u00e9 o CommonName<\/code>. Deve ser o FQDN de seu Sync Gateway. Se o seu Sync Gateway n\u00e3o tiver um, voc\u00ea dever\u00e1 especificar use localhost<\/code> para localhost ou o endere\u00e7o IPA est\u00e1tico do seu Sync Gateway.
\n\"self
\nUma vez configurado, seu gateway de sincroniza\u00e7\u00e3o deve ser acessado via https.<\/p>\n

Agrupamento de certificados em seu aplicativo iOS<\/h2>\n