グローバルルートCAの固定は、証明書の固定がない場合とほとんど同じですか？
中間/リーフ証明書の代わりにグローバルルートCAを固定している複数のモバイルアプリケーションを見ました。これは、証明書のピン留めがまったくない場合と同じリスクにさらされませんか？
ネットワークの所有者が自分のドメイン（*.evilcoffee.com DigiCertによる署名）
モバイルアプリケーションがDigicertによって発行された証明書を信頼している場合、効果的にMiTMを実行できますか？何か不足していますか？
モバイルアプリケーションがDigicertによって発行された証明書を信頼している場合、効果的にMiTMを実行できますか？何か不足していますか？
CAに対してピン留めすることは、このCAからのすべての証明書がサイトに対して信頼されることを意味しませんが、onlyこのCAによって発行された証明書は最初に信頼できると見なされますになります場所。
CAのピン留めは、通常行われる他のチェックを無効にしません。つまり、ホスト名と一致するサブジェクト（CN/SAN）のチェック、証明書の有効期限切れ、目的...などです。したがって、CAのピン留めでは、CAのピン留めなしでは許可されなかった証明書は許可されません。他のCAを信頼して特定のドメインの証明書を発行することを信頼することを防ぎます。
ドメインの特定のルートCAに対してピン留めすることは、このドメインの証明書を検証するときにトラストストアから他のルートCAを削除することに似ています。
ルートCAを固定すると、デフォルトの証明書ストア内の他の信頼されたルートCAによってもたらされるリスクを防ぐことができます。 共有したリンク （ありがとう）で述べたように、証明書をピン留めするチェーンの高さ（または低さ）はデプロイメントの決定です。
潜在的な脅威といくつかの緩和策の詳細については、 このSecurity.SEの投稿 を確認してください。