【发布时间】：2016-11-16 15:59:48
【问题描述】：
我们正在尝试设计一种解决方案，其中我们拥有多个智能设备，并且我们可以通过多部手机控制每个智能设备。我们将生成一个自签名 SSL 服务器证书并将其嵌入到所有智能设备中。我们将在所有手机中包含 SSL 客户端证书。现在为了将手机连接到智能设备，手机需要获取一个 ID（可以通过扫描智能设备上的二维码来获得 - 这只是为了确保手机在智能设备附近） .
智能设备：
- 嵌入自签名服务器证书。原因：不依赖 互联网连接
- 维护一个 WiFi 热点（不保证互联网连接 总是）
- 维护已连接电话的列表（每个电话 由手机扫描的二维码 ID 识别）
手机应用：
实现证书固定并硬编码客户端证书
连接到 Wifi 热点
与智能设备建立 SSL 连接。
为了第一次注册它扫描二维码和 随后的连接它发送 QR 码 ID 以提供其 身份。
您能否回顾一下上述架构并找出其中的任何缺陷？
因为我们在所有智能设备中安装相同的服务器证书，在所有手机中安装相同的客户端证书，有没有办法以某种方式破解智能设备？
如果智能设备和手机之间建立了 SSL 连接，那么另一台设备（在同一网络上，具有相同的证书）是否能够劫持智能设备和第一部手机之间发送的数据包？
建立安全链接后，我们会通过 SSL 套接字以纯文本格式发送 QR 码 ID。我们是否需要再次对其进行加密，或者 SSL 链接是否足够安全？
【问题讨论】：
-
我们通过 SSL 套接字以纯文本格式发送二维码 ID。 ...呵呵，但任何应用程序都可以读取它（我的意思是扫描二维码，仅此而已)...那有什么意义呢？因为二维码看起来很漂亮？
-
每部手机的二维码都是唯一的，只有在手机想要连接智能设备时才会显示。此外，为了成功注册，手机必须与智能设备在同一个 WiFi 网络中
标签： android security ssl mobile tls1.2