複数のホストと自己署名入り証明書のHostNameVerifierをカスタマイズする

Question

コミュニティに問題があり、助けが必要です。
Google data protectionが変更され、Googleデベロッパーコンソールで警告が表示されました。 "セキュリティ警告 あなたのアプリはHostnameVerifierの安全でない実装を使用します 脆弱性の解決期限を含む詳細については、Googleヘルプのこの記事を参照してください APKバージョン3に適用されます。

私がHostnameVerifierを正しく使用しない理由は、弊社では当社製品を購入したすべてのお客様にCA証明書付きの を署名できないためです。 （彼の望むなら、その目的にかなっています） 当社の製品には、アプリケーションと通信するための安全なWebサービス（安心なAPI）が含まれています。 だから、すべてのインストールで、私はアプリを通じて受け入れるべき生成された新しい自己署名証明書があり、明らかに最も簡単な解決策はで のHostnameVerifierを無効にすることでした：

private final static HostnameVerifier DO_NOT_VERIFY = new HostnameVerifier() { 
    public boolean verify(String hostname, SSLSession session) { 
     return true; 
    } 
}; 

そして、すべてのホストを信頼する：

private static void trustAllHosts() { 
    // Create a trust manager that does not validate certificate chains 
    TrustManager[] trustAllCerts = new TrustManager[] { new X509TrustManager() { 
     public java.security.cert.X509Certificate[] getAcceptedIssuers() { 
      return new java.security.cert.X509Certificate[] {}; 
     } 

     public void checkClientTrusted(X509Certificate[] chain, 
             String authType) throws CertificateException { 
     } 

     public void checkServerTrusted(X509Certificate[] chain, 
             String authType) throws CertificateException { 
     } 
    } }; 

    // Install the all-trusting trust manager 
    try { 
     SSLContext sc = SSLContext.getInstance("TLS"); 
     sc.init(null, trustAllCerts, new java.security.SecureRandom()); 
     HttpsURLConnection 
       .setDefaultSSLSocketFactory(sc.getSocketFactory()); 
    } catch (Exception e) { 
     e.printStackTrace(); 
    } 
} 

暗号化に似た経験のあるユーザーは誰ですか？私の場合、さらに進んでいかなければなりませんか？前もって感謝します！

Answer 1

Let's Encrypt CAについて聞いたことがありますか？ チェックアウトしていない場合。

したがって、「私たちの会社は、すべてのお客様にCA証明書で署名することはできません。」が間違っています。 あなたの製品にLet's Encryptクライアントを統合するだけで、すべてのサーバーは無料で有効な証明書を持ちます。

とにかく有効なCAがなくても、自己署名証明書であってもSSL接続を安全にするための簡単な対策があります。結果は実際のSSL証明書ほど良くはなく、「SSL/TLSのセキュリティを無効にする」アプローチよりも優れています。

「最初に信頼する」（SSHの動作と同様）最初の接続（信頼できる環境での使用が想定される）で、サーバーによって提示されたSHA-256ハッシュ（または証明書自体）を保存して保存します。次に接続が確立され、TrustManagerのcheckServerTrustedが実行されると、リーフ証明書と保存された証明書を比較します。