Kotlin API24应用OkHttpClient自定义信任管理器安全性咨询与优化

当前实现的合规性与安全隐患 #

你的当前实现完全不符合安全合规要求，存在严重的安全风险：

• 自定义的X509TrustManager对checkClientTrusted和checkServerTrusted方法做了空实现，这意味着应用会信任任何SSL证书，彻底放弃了SSL/TLS的核心安全能力——服务器身份验证。即使添加了hostname验证，攻击者仍可通过伪造目标域名的证书发起中间人攻击，窃取或篡改应用与API之间的通信数据。
• getAcceptedIssuers返回空数组，不符合X509TrustManager的规范，可能导致部分SSL握手场景出现异常。

优化方案：仅信任目标API的特定证书 #

正确的做法是实现一个只信任目标API证书（或其签发CA证书）的自定义信任管理器，而非信任所有证书。以下是具体实现步骤：

1. 准备证书文件 #

将目标API的服务器证书或其签发CA证书导出为PEM格式，放置到项目的res/raw目录下（例如命名为server_ca.pem）。

2. 实现安全的自定义信任管理器 #

替换原来的getUnsafeOkHttpClient方法为以下代码：

private fun getSecureOkHttpClient(context: Context): OkHttpClient {
    return try {
        // 读取raw目录下的证书
        val certInputStream = context.resources.openRawResource(R.raw.server_ca)
        val certificateFactory = CertificateFactory.getInstance("X.509")
        val certificate = certificateFactory.generateCertificate(certInputStream)

        // 创建包含目标证书的KeyStore
        val keyStore = KeyStore.getInstance(KeyStore.getDefaultType())
        keyStore.load(null, null)
        keyStore.setCertificateEntry("server_ca", certificate)

        // 初始化信任管理器，仅信任KeyStore中的证书
        val trustManagerFactory = TrustManagerFactory.getInstance(TrustManagerFactory.getDefaultAlgorithm())
        trustManagerFactory.init(keyStore)
        val trustManagers = trustManagerFactory.trustManagers

        // 配置SSLContext
        val sslContext = SSLContext.getInstance("TLS")
        sslContext.init(null, trustManagers, SecureRandom())
        val sslSocketFactory = sslContext.socketFactory

        OkHttpClient.Builder()
            .sslSocketFactory(sslSocketFactory, trustManagers[0] as X509TrustManager)
            .hostnameVerifier(OkHostnameVerifier.INSTANCE) // 使用默认的hostname验证逻辑
            .build()
    } catch (e: Exception) {
        throw RuntimeException(e)
    }
}

3. 调整Retrofit初始化 #

确保创建Retrofit时传入Context以读取证书：

private val retrofit = Retrofit.Builder()
    .addConverterFactory(ScalarsConverterFactory.create())
    .baseUrl(BASE_URL)
    .client(getSecureOkHttpClient(applicationContext)) // 传入应用Context
    .build()

原证书配置失败的可能原因 #

你之前尝试的证书添加至JDK信任库、res/raw配置XML方案未生效，可能是以下原因：

• 证书格式错误：需确保证书是PEM或DER格式，而非PKCS12等容器格式（若使用PKCS12需额外处理密钥库密码）。
• Network Security Config配置错误：需在AndroidManifest.xml的<application>标签中添加android:networkSecurityConfig="@xml/network_security_config"，且XML文件中正确引用证书：

  <?xml version="1.0" encoding="utf-8"?>
  <network-security-config>
      <domain-config>
          <domain includeSubdomains="true">textbookquiz.runflare.run</domain>
          <trust-anchors>
              <certificates src="@raw/server_ca" />
          </trust-anchors>
      </domain-config>
  </network-security-config>
  

• 证书链不完整：若API使用的是由中间CA签发的证书，需同时导入中间CA证书和根CA证书，否则系统无法验证证书链的完整性。

内容的提问来源于stack exchange，提问作者Daniel Mohebi