Lenovoのコンシューマ向けPCにプリインストールされたSuperfishと呼ばれるアプリケーションが、システムに独自のルート証明書をインストールしSSL MITM(Man-in-the-Middle)を行っていたことが発覚し、話題になっている(Lenovoによるプレスリリース)。 この件に関して、「Certificate pinningでは防げない」といった内容が書かれた記事がある。 この記事の中で参照されているChromiumのSecurity FAQでは、デバッグ用プロクシやファイアウォールなどのセキュリティ機器によるSSL MITMを許すため、「private trust anchor」の場合はpinningが無効になると書かれている。 Security FAQ - The Chromium Projects # How does key pinning interact wit
![Certificate pinningの実装におけるPrivate trust anchorの判定について調べてみる - ももいろテクノロジー](https://cdn-ak-scissors.b.st-hatena.com/image/square/02d6a5dc7372acddd145d59f6b445e1ef6fcbad3/height=288;version=1;width=512/http%3A%2F%2Fcdn-ak.f.st-hatena.com%2Fimages%2Ffotolife%2Fi%2Finaz2%2F20150225%2F20150225023736.png)