某移动 App 只信任预置的服务器证书或公钥指纹。即使攻击者通过某个异常 CA 证书链签发了看似有效的服务器证书，只要该证书或公钥不匹配 App 中固定的指纹，连接仍会被拒绝。该机制通常称为（）。
证书固定（Certificate Pinning）或公钥固定，是应用把期望的证书、公钥或指纹预先固定下来，连接时除了验证普通证书链，还要检查服务器实际证书或公钥是否与预置值匹配。这样可以降低异常证书签发、中间人攻击等风险。
选项分析
正确。预置信任的证书或公钥指纹并进行匹配，是证书固定的典型做法。
错误。三范式是数据库设计规范。
错误。OSPF 区域汇总属于路由规划。
错误。瀑布模型阶段评审属于软件过程管理。
本题为什么容易错
容易把证书固定理解成“只要有 HTTPS 就行”。普通 TLS 校验依赖系统信任根和证书链，证书固定则进一步限定服务器证书或公钥必须和应用预期一致。它提升安全性，但也带来证书轮换、过期和应急更新的运维成本。
简短答案
证书固定为什么能降低伪造证书风险，正确答案是 A（证书固定或公钥固定）。证书固定（Certificate Pinning）或公钥固定，是应用把期望的证书、公钥或指纹预先固定下来，连接时除了验证普通证书链，还要检查服务器实际证书或公钥是否与预置值匹配。这样可以降低异常证书签发、中间人攻击等风险。
易混淆概念对比表
| 概念 | 本题判断 | 区别要点 | 记忆提示 |
|---|---|---|---|
| 证书固定或公钥固定 | 本题正确答案 | 正确。预置信任的证书或公钥指纹并进行匹配，是证书固定的典型做法。 | 看到题干核心场景时优先联想到它 |
| 数据库三范式 | 本题干扰项 | 错误。三范式是数据库设计规范。 | 看到该词不要急着选，先判断是否真正解决题干问题 |
| OSPF 区域汇总 | 本题干扰项 | 错误。OSPF 区域汇总属于路由规划。 | 看到该词不要急着选，先判断是否真正解决题干问题 |
| 瀑布模型阶段评审 | 本题干扰项 | 错误。瀑布模型阶段评审属于软件过程管理。 | 看到该词不要急着选，先判断是否真正解决题干问题 |
本题易混淆选项怎么区分
- 数据库三范式：错误。三范式是数据库设计规范。
- OSPF 区域汇总：错误。OSPF 区域汇总属于路由规划。
- 瀑布模型阶段评审：错误。瀑布模型阶段评审属于软件过程管理。
知识点详解
证书固定常见于移动 App、客户端软件或高安全场景。它的优势是减少对庞大 CA 信任体系的完全依赖，降低伪造证书通过普通校验的风险；代价是证书或公钥一旦变更，客户端也要能安全更新预置信息。软考题通常不会要求实现 pinning 代码，但会考你能不能识别它解决的是“证书链看似有效但不是预期服务器”的风险。实际使用时更推荐固定公钥或备用公钥，而不是只固定某一张短周期证书，否则证书轮换时客户端可能大面积连接失败。
备考速记
速记：普通 TLS 问证书链可信不可信，证书固定还要问是不是我指定的那一个。
Certificate Pinning 在中间人攻击场景中的作用
Certificate Pinning在本题中的核心价值，是解决“某移动 App 只信任预置的服务器证书或公钥指纹。即使攻击者通过某个异常 CA 证书链签发了看似有效的服务器证书，只要该证书或公钥不匹配 App 中固定的指纹，连接仍会被拒绝。该机制通常称为（）”这个场景问题。复习时不要只背选项名称，还要理解它为什么适用于该场景，以及它能解决哪类安全、流程或管理问题。
同类题怎么考
- 给出中间人攻击场景，判断应该选择哪个概念、工具、协议或管理过程。
- 考查Certificate Pinning的作用，要求从四个相近选项中找出最符合题干目标的一项。
- 把Certificate Pinning和数据库三范式、OSPF 区域汇总、瀑布模型阶段评审放在一起考，重点看适用场景是否一致。
- 题干通常会出现一个关键动作或目标，先定位关键词，再回到选项逐一排除。
Certificate Pinning 在信息安全工程师软考中的考法
软考选择题通常不会只考概念定义，还会把Certificate Pinning放到中间人攻击场景中，要求判断它的作用、适用范围或与相近概念的区别。遇到这类题时，先抓住题干中的业务场景，再看哪个选项最能解决该场景下的核心问题。
解题思路
这题的核心不是“证书链有效”，而是“是不是我预期的那张证书或那个公钥”。老师讲 HTTPS 安全时会提醒：正常浏览器信任很多 CA，但某些 App 可以把自己的服务器公钥提前写进去，连接时再核对。核对不上，就算证书链看起来能过，也拒绝。
考点定位
证书固定看“只信任预置证书或公钥指纹”。它不是替代 TLS，而是在普通证书校验之外增加一层绑定。
易错提醒
- 只固定证书却没有设计证书更新和灰度轮换机制。
- 把证书固定当成替代域名校验、有效期校验和吊销检查的万能方案。
- 测试环境和生产环境证书混用，导致固定指纹管理混乱。
备考提示
- HTTPS 题建议按证书链、域名匹配、有效期、吊销检查、证书固定五层理解。
- 看到 App 预置证书、公钥指纹、拒绝异常 CA 签发证书，优先想到证书固定。
- 证书固定适合和中间人攻击、CA 信任模型、证书轮换一起复习。
你可能还想了解
- 证书固定为什么能降低伪造证书风险？
- Certificate Pinning是什么？
- Certificate Pinning在信息安全工程师考试中怎么考？
- 信息安全工程师Certificate Pinning题怎么理解？
- 证书固定有什么作用怎么考？
- Certificate Pinning是什么意思怎么考？
本文小结
本题核心考点是Certificate Pinning在中间人攻击场景中的判断和应用。遇到类似题目时，先看题干描述的目标，再判断哪个选项最符合场景；本题应选择 A（证书固定或公钥固定）。