HTTPS GET (SSL) с Android и самозаверяющим сертификатом сервера

Question

Я просмотрел различные сообщения о том, как получить что-то через HTTPS на Android, с сервера, который использует самозаверяющий сертификат. Тем не менее, ни один из них, похоже, не работает - все они не удаляют

javax.net.ssl.SSLException: сообщение сертификата несертифицированного сервера.

Нельзя модифицировать сервер, чтобы иметь доверенный сертификат, а также не допускать, чтобы сертификат сервера соответствовал IP-адресу сервера.

Обратите внимание, что сервер не будет иметь DNS-имя, он будет иметь только IP-адрес. Запрос GET выглядит следующим образом:

https://username:password@anyIPAddress/blabla/index.php?param=1&param2=3 

Я полностью осознаю, что это решение является склонным к человеку-в-середине атак и т.д.

Таким образом, решение должно игнорировать отсутствие доверия сертификат и игнорировать несоответствие имени хоста.

Кто-нибудь знает код, который делает это, используя Java для Android?

Есть много попыток объяснить это на stackoverflow.com и множество фрагментов кода, но они, похоже, не работают, и никто не предоставил один блок кода, который решает это, насколько я вижу. Было бы интересно узнать, действительно ли кто-то решил это, или если Android просто блокирует сертификаты, которым не доверяют.

Answer 1

Если вы используете HttpsURLConnection, то попробуйте позвонить setHostnameVerifier на него, прежде чем connect(), и передавая ему HostnameVerifier, что только принимает независимо от правдивости.

Answer 2

Если у вас есть доступ к устройствам, вы можете добавить сертификат в хранилище ключей. See more informations here.

С другой стороны, вы можете использовать метод this, но я думаю, что это отвратительно.

---

Ресурсы:

• developer.android.com - SSLSocketFactory
• Android and self-signed ssl certificates

На эту же тему:

• Https Connection Android
• HTTPS with Self-Signed SSL Certificate Issues… Solution or better way?
• Self Signed SSL acceptance Android

Answer 3

Я сделал приложение, которое использует самозаверяющими или доверять все сертификаты.Источник здесь: http://code.google.com/p/meneameandroid/source/browse/#svn/trunk/src/com/dcg/auth и бесплатно использовать: P

Просто используйте HttpManager и создать SSL завод, используя доверие все один: http://code.google.com/p/meneameandroid/source/browse/trunk/src/com/dcg/util/HttpManager.java

EDIT: Ссылки обновлены

Answer 4

Вы можете сделать это тихо и безопасно : http://blog.crazybob.org/2010/02/android-trusting-ssl-certificates.html

Answer 5

Если вы спросите меня, сделайте это безопасным способом.

Нашел хороший учебник http://blog.antoine.li/index.php/2010/10/android-trusting-ssl-certificates/, и это действительно не так сложно реализовать.

Также урок, рекомендованный Масиком, очень хорош.

Я тестировал его, и он работает в моем приложении без проблем.

Answer 6

Как вы правильно указываете, есть две проблемы: a) сертификат не доверен, и b) имя сертификата не совпадает с именем хоста.

ВНИМАНИЕ: для кого-то еще, прибывающих на этот ответ, это грязный, ужасный хак, и вы не должны использовать его для чего-нибудь, что имеет значение. SSL/TLS без аутентификации хуже, чем отсутствие шифрования - чтение и изменение ваших «зашифрованных» данных - это тривиальный для злоумышленника, а вы даже не подозревали, что это происходит.

Еще со мной? Я боялся, так что ...

а) решается путем создания пользовательского SSLContext которого TrustManager принимает что-нибудь:

SSLContext ctx = SSLContext.getInstance("TLS"); 
ctx.init(null, new TrustManager[] { 
    new X509TrustManager() { 
    public void checkClientTrusted(X509Certificate[] chain, String authType) {} 
    public void checkServerTrusted(X509Certificate[] chain, String authType) {} 
    public X509Certificate[] getAcceptedIssuers() { return new X509Certificate[]{}; } 
    } 
}, null); 
HttpsURLConnection.setDefaultSSLSocketFactory(ctx.getSocketFactory()); 

и б) путем создания HostnameVerifier, который позволяет подключение продолжить, даже если сертификат Безразлично» т соответствует имени хоста:

HttpsURLConnection.setDefaultHostnameVerifier(new HostnameVerifier() { 
    public boolean verify(String hostname, SSLSession session) { 
    return true; 
    } 
}); 

и должно произойти в самом начале вашего кода, прежде чем начать возиться с HttpsURLConnections и так далее. Это работает как в Android, так и в обычной JRE. Наслаждаться.

Answer 7

Я сделал приложение, которое использует самостоятельно подписанный сертификат 4 месяца назад здесь код, я надеюсь, что это помогает: https://bitbucket.org/momo0002/tlsdemo.git