问题标签 [trustmanager]

对于我的一个应用程序，我在 android 开发人员控制台中收到了安全警报。我不使用http请求。我不确定像 Admob 和 Facebook 这样的广告网络使用它。

为此需要任何特定的代码/ gradle 设置吗？

如何解决这个问题并摆脱安全警报？

In one of my apps I'm using HTTPS with a self-signed certificate and followed the sample code from the android developer training site (https://developer.android.com/training/articles/security-ssl.html#UnknownCa).

I recently got the following alert saying that the current implementation is not secured:

Security alert

Your app is using an unsafe implementation of the X509TrustManager interface with an Apache HTTP client, resulting in a security vulnerability. Please see this Google Help Center article for details, including the deadline for fixing the vulnerability.

Can someone provide more details on what should be updated beyond the sample code linked above?

Should I implement a custom TrustManager? If so, what should it verify?

在我的一个应用程序中，我最近收到了来自 Google Play 的以下警报：

您的应用正在使用带有 Apache HTTP 客户端的 X509TrustManager 接口的不安全实现，从而导致安全漏洞。请参阅此 Google 帮助中心文章了解详细信息，包括修复漏洞的截止日期。

有人可以提供更多关于应该更新什么的细节吗？

好的，所以我刚刚收到所有关于不安全使用此 TrustManger 的警报。问题是我什至不知道那是什么，事实上这是我第一次听说它。有谁知道这是什么？有人解决了这个问题吗？我怀疑它在一些广告网络罐中，因为我从来没有真正搞砸过这些东西，我正在使用 FAN、AdMob 和 MobileCore。

您的应用正在使用带有 Apache HTTP 客户端的 X509TrustManager 接口的不安全实现，从而导致安全漏洞。请参阅此 Google 帮助中心文章了解详细信息，包括修复漏洞的截止日期。

此消息显示在开发人员控制台上的我的应用程序中。我还没有实施X509TrustManager。因此，它必须位于 app.js 中使用的库之一中。

如何确定导致此问题的库？

我在 Google Play 中有一个应用程序，今天我收到了来自 Google 的邮件说：

Google Play 警告：您正在使用 X509TrustManager 的不安全实现

它说明了 SSL 证书问题和解决问题的方法。

我问这个问题是因为好奇

1. 实际上这个警告是关于什么的？
2. 我没有在我的应用程序中使用任何与网络相关的活动（它是一个本地数据库驱动的应用程序），那么为什么我的应用程序会出现此警告？

更多细节：

我的应用程序是使用 Appcelerator Titanium 构建的，谷歌说这个实现是在ti.modules.titanium.network.NonValidatingTrustManager;. 我确信我从未在我的代码中使用过这样的类。

首先，我应该说，我主要是一名 PHP 开发人员。我在 Google Play 上有一个相对陈旧的应用程序，它是在 2012 年底针对 API 15 构建的。

在这里查看了其他人的问题，这些问题与来自 Google Play 的接口 X509TrustManager 警报的不安全实现有关，但似乎没有一个适用于我。我没有通过 SSL 发出请求，也没有使用 Google Play 服务之外的任何外部库。

警报说问题出在 apache.http 上。具体来说，它说：

您的应用正在使用带有 Apache HTTP 客户端的 X509TrustManager 接口的不安全实现，从而导致安全漏洞。请参阅此 Google 帮助中心文章了解详细信息，包括修复漏洞的截止日期。

由于我没有使用 SSL 连接，我不确定如何继续。我没有使用 SSL 进行连接这一事实是 Google 遇到的问题吗？我与服务器交换的数据不能被认为是敏感的——失物招领的宠物清单。

该应用程序相关的网站是自愿的、自筹资金的和共享托管的，因此我不希望此时强制添加 SSL。在这里实施 SSL 是我唯一的出路吗？

Google 建议我在我的 Android 应用程序中有一个不安全的接口 X509TrustManager 实现，需要按如下方式更改我的代码：

要正确处理 SSL 证书验证，请更改自定义 X509TrustManager 接口的 checkServerTrusted 方法中的代码，以在服务器提供的证书不符合您的期望时引发 CertificateException 或 IllegalArgumentException。对于技术问题，您可以发布到 Stack Overflow 并使用标签“android-security”和“TrustManager”。</p>

如何修改以下代码以解决上述问题？

我在 Google Play 中有一个应用程序，我收到了来自 Google 的邮件说：

此电子邮件末尾列出的您的应用程序使用了 X509TrustManager 接口的不安全实现。具体来说，在与远程主机建立 HTTPS 连接时，实现会忽略所有 SSL 证书验证错误，从而使您的应用容易受到中间人攻击。

要正确处理 SSL 证书验证，请更改自定义 X509TrustManager 接口的 checkServerTrusted 方法中的代码，以在服务器提供的证书不符合您的期望时引发 CertificateException 或 IllegalArgumentException。

我的应用程序使用“https”，我checkServerTrusted()的如下：

然后我修改这个函数：

自定义 SSLSocketFactory：

}

HttpClient函数：</p>

但是我对此不太了解，我只是根据电子邮件中的内容修改了我的代码，我想我还没有解决这个问题。这个警告​​到底是什么？如何解决？

我遇到了问题

您的应用正在使用带有 Apache HTTP 客户端的 X509TrustManager 接口的不安全实现，从而导致安全漏洞。请参阅此 Google 帮助中心文章了解详细信息，包括修复漏洞的截止日期。

我需要破坏我的应用程序代码以（我认为）解决问题。我需要知道更改是否有效，如果有效，我将修复修复导致的其他问题。如果我使用定时发布将构建上传到生产环境但没有使构建生效，它会在弹出错误消息中告诉我错误是否影响构建#？