Tag: android security

Google Play警告和“X509TrustManager的不安全实施”: 我们收到了有关“您正在使用X509TrustManagfer的不安全实施”的邮件。要解决此问题，我们已应用http://transoceanic.blogspot.in/2011/11/android-import-ssl-certificate-and-use.html中的解决方案这里我们生成了新的BKS密钥库并传递了这个密钥库SSLSocketFactory。该工厂负责validation服务器证书。我们已经存在Keystore但它不是.BKS格式。这就是为什么我们为特殊的HTTPS调用创建了新的。请查看我的以下代码： DefaultHttpClient sslClient = new MyHttpClient(StartupActivity.activity); public class MyHttpClient extends DefaultHttpClient { final Context context; public MyHttpClient(Context context) { this.context = context; } @Override protected ClientConnectionManager createClientConnectionManager() { SchemeRegistry registry = new SchemeRegistry(); registry.register(new Scheme(“http”, PlainSocketFactory .getSocketFactory(), 80)); // Register for port 443 our SSLSocketFactory with our keystore // […]

谷歌界面X509TrustManager的不安全实现: 我在谷歌播放中使用了一个应用程序，我收到了谷歌的一封邮件说：您在此电子邮件末尾列出的应用使用了界面X509TrustManager的不安全实现。具体而言，在与远程主机建立HTTPS连接时，该实现会忽略所有SSL证书validation错误，从而使您的应用容易受到中间人攻击。要正确处理SSL证书validation，请在自定义X509TrustManager接口的checkServerTrusted方法中更改代码，以便在服务器提供的证书不符合您的期望时引发CertificateException或IllegalArgumentException。我的应用使用“https”，我的checkServerTrusted()如下： TrustManager tm = new X509TrustManager() { public void checkClientTrusted(X509Certificate[] chain, String authType) throws CertificateException { } public void checkServerTrusted(X509Certificate[] chain, String authType) throws CertificateException { } public X509Certificate[] getAcceptedIssuers() { return null; } }; 然后我修改这个function： TrustManager tm = new X509TrustManager() { public void checkClientTrusted(X509Certificate[] chain, String authType) throws CertificateException { […]