R
Но опять же, если данный подход (CT) подразумевает не доверять сертификатам никаким и надо их проверять в открытых базах (они есть не только у Гугл), то почему мы должны доверять гугловскому серту который вшит?)
Не, ну это уже философия ) Я пока просто не очень понимаю какую дополнительную пользу мне эта штука принесет по сравнению с пиннингом. Для мира браузеров - тут все понятно, чтобы юзера не зафишили надо чекать. А когда у меня тонкий клиент над конкретным серваком и там запиненен конкретный серт я не понимаю зачем мне CT
