問題タブ [android-security]

最近、私のアプリの 1 つで、Google Play から次のような警告が表示されました。

あなたのアプリは、Apache HTTP クライアントで X509TrustManager インターフェースの安全でない実装を使用しているため、セキュリティ上の脆弱性が生じています。脆弱性の修正期限など、詳細については、この Google ヘルプ センターの記事を参照してください。

何を更新する必要があるかについて、誰かが詳細を提供できますか?

Play ストアの私のアプリの 1 つが最近このアラートを受け取りましたが、このアラートを停止するにはどうすればよいか完全にわかりません。これを参照してください。

私のアプリのシナリオ:

アプリには支払いゲートウェイが含まれていますが、支払いは Web ビューを介して行われます。このアラートは、これらの Web ビューの結果であるとほぼ確信しています。

Google からの洞察 :

私が検索した限り、私はOnReceivedSslErrorより頻繁に出くわし、アラートでさえ、そのメソッドを適切に処理するように明確に述べています。しかし、そもそもその方法を実装していないため、完全に迷っています。

サーフィンを深めると、これ、これ、これなどのリンクにたどり着きます。すべてのリンクで見つけた共通点は、それらがすべて古いバージョンの Android を参照していたことです。しかし、私はminSDKをAndroid 4.0以降の14として使用しています。それでまた迷子になった。そして、このアラートはhttps、webview で a を使用したときに発生すると思います。

だから私の質問は

1. この問題が突然発生したのはなぜですか?

   このアプリは 6 か月以上 Play ストアにあり、このアラートは突然出てきます !!! 何が起こったのか全くわかりません!!

2. 問題を再現するにはどうすればよいですか?

   この問題を再現するために多くの方法を試しましたが、ここに示すように SSL メソッドを実装しました。しかし、何も機能していないようです。

3. この問題は支払いやアプリに何らかの影響を与えますか?

この問題を再現して詳細を確認するにはどうすればよいですか? また、このアラートを停止するにはどうすればよいですか?

何を試しましたか？:

古いAndroidバージョンに疑問を持っていたので、minSDKを使用してエミュレーターを設計しましたが、それでもフローがメソッドに入りませんでした。

私の疑問：

この問題を引き起こした可能性のある非正規の SSL が存在する可能性はありますか?

この問題に関するアイデアや洞察は非常に役立ちます。前もって感謝します。それと同じくらい簡単に、そのアラートを無効にするだけです。

Google は、私の Android アプリケーションに X509TrustManager インターフェースの安全でない実装があり、コードを次のように変更する必要があるとアドバイスしました。

SSL 証明書の検証を適切に処理するには、カスタム X509TrustManager インターフェースの checkServerTrusted メソッドのコードを変更して、サーバーによって提示された証明書が期待どおりでない場合は常に CertificateException または IllegalArgumentException を発生させます。技術的な質問については、「android-security」および「TrustManager」のタグを使用して Stack Overflow に投稿できます。</p>

上記の問題を解決するには、次のコードをどのように変更できますか?

Google Play でアプリを持っているのですが、Google から次のようなメールを受け取りました。

このメールの最後に記載されているあなたのアプリは、インターフェース X509TrustManager の安全でない実装を使用しています。特に、この実装では、リモート ホストへの HTTPS 接続を確立するときに SSL 証明書の検証エラーがすべて無視されるため、アプリが中間者攻撃に対して脆弱になります。

SSL 証明書の検証を適切に処理するには、カスタム X509TrustManager インターフェースの checkServerTrusted メソッドのコードを変更して、サーバーによって提示された証明書が期待どおりでない場合は常に CertificateException または IllegalArgumentException を発生させます。

私のアプリは「https」を使用しています。私checkServerTrusted()のものは次のとおりです。

次に、この関数を変更します。

カスタム SSLSocketFactory:

}

HttpClient 関数：</p>

しかし、私はこれについてよく知りません.電子メールが言ったことに従ってコードを変更しただけです.私はこの問題を解決していないと思います.この警告は何ですか? それを解決する方法は？

Android プラットフォームと iOS プラットフォームの両方のアプリケーションを開発するために、JDeveloper を使用して数か月しか経っていません。

最近、4.1.1 より前の Cordova プラグインをサポートしないという Gfolks の DevConsole へのアドバイス

Cordova プラグインをアップグレードする「方法」が見つかりませんでした。誰か助けていただければ幸いです。

現在私が使用している: JDeveloper Studio Edition バージョン 12.1.3.0.0 MAF 2.1.1.0.41.150325.1239 Xcode バージョン 6.4 (6E35b) Android API 16 - 22