Как исправить небезопасную реализацию X509TrustManager warrning в приложении для Android

Question

Я получаю предупреждение о безопасности на загружаемом Android-устройстве в Google Play Store.

«Ваше приложение использует небезопасную реализацию интерфейса X509TrustManager с HTTP-клиентом Apache, что приводит к уязвимости безопасности. Подробнее см. В этой статье Справочного центра Google, включая крайний срок для исправления уязвимости».

Я пытаюсь исправить это путем реализации следующего кода и обновить мой билд

public class MySSLSocketFactory extends SSLSocketFactory { 
    SSLContext sslContext = SSLContext.getInstance("TLS"); 

    public MySSLSocketFactory(KeyStore truststore) throws NoSuchAlgorithmException, KeyManagementException, KeyStoreException, UnrecoverableKeyException { 
     super(truststore); 

     TrustManager tm = new X509TrustManager() { 
      public void checkClientTrusted(X509Certificate[] chain, String authType) throws CertificateException { 
      } 

      public void checkServerTrusted(X509Certificate[] chain, String authType) throws CertificateException { 
      } 

      public X509Certificate[] getAcceptedIssuers() { 
       return null; 
      } 
     }; 

     sslContext.init(null, new TrustManager[] { tm }, null); 
    } 

    @Override 
    public Socket createSocket(Socket socket, String host, int port, boolean autoClose) throws IOException, UnknownHostException { 
     return sslContext.getSocketFactory().createSocket(socket, host, port, autoClose); 
    } 

    @Override 
    public Socket createSocket() throws IOException { 
     return sslContext.getSocketFactory().createSocket(); 
    } 
} 

Но до сих пор я получаю предупреждение системы безопасности.

Еще один вопрос, который я не хочу обновлять в прямом эфире снова и снова, чтобы удалить это предупреждение безопасности. Есть ли способ, которым я могу загрузить свою сборку, и могу проверить, что изменения были выполнены отлично и могут жить в этом же приложении.

Обновление: Я также добавить следующие строки в checkServerTrusted()

try { 
    chain[0].checkValidity(); 
} catch (CertificateExpiredException e) { 
    Logger.e(TAG, "CertificateExpiredException"); 
    throw new CertificateException("CertificateExpiredException"); 
} catch (CertificateNotYetValidException e) { 
    Logger.e(TAG, "CertificateNotYetValidException"); 
    throw new CertificateException("CertificateNotYetValidException"); 
} 

Answer 1

Если вы хотите проверить, что ваше приложение было исправлено, вы можете загрузить его как приуроченных публиковать.

Если ваша новая версия не устранила указанную ошибку, вы будете уведомлены.