Android WebView握手失败问题：无需私钥的解决方案咨询

我们开发一款Android应用，将Launchpad URL嵌入WebView组件中，尝试登录时持续出现以下错误：

E/chromium: [ERROR:ssl_client_socket_impl.cc(959)] handshake failed; returned -1, SSL error code 1, net_error -100 

我们尝试过相关解决方案，但出于安全考虑，IT团队不愿提供私钥，现有方案均需私钥才能生效。请问是否存在无需私钥即可解决该问题的可行方法？或者IT团队是否有安全的私钥共享方式？

已尝试的无效代码 #

WebViewClient重写部分：

@Override  
public void onReceivedSslError(WebView view, SslErrorHandler handler, SslError error) {  
    handler.proceed();  
}  

@Override  
public void onReceivedClientCertRequest(WebView view, final ClientCertRequest request) {  
    if (mCertificates == null || mPrivateKey == null) {  
        loadCertificateAndPrivateKey();  
    }  
    request.proceed(mPrivateKey, mCertificates);  
}

证书加载方法：

private void loadCertificateAndPrivateKey() {
    try {
        InputStream fis = getClass().getResourceAsStream("/assets/keystore.bks");
        KeyStore keyStore = KeyStore.getInstance(KeyStore.getDefaultType());
        String password = "password";
        keyStore.load(fis, password != null ? password.toCharArray() : null);

        InputStream certificateFileStream = getClass().getResourceAsStream("/assets/RootCA.crt");
        CertificateFactory cf = CertificateFactory.getInstance("X.509");
        Certificate certGenerated = cf.generateCertificate(certificateFileStream);

        // Close the certificate stream
        if (certificateFileStream != null) {
            certificateFileStream.close();
        }

        // Add the certificate to the keystore
        keyStore.setCertificateEntry("RootCA", certGenerated);

        Enumeration<String> aliases = keyStore.aliases();
        String alias = aliases.nextElement();

        // Here key object returns null, as understandably since no private key is imported.
        Key key = keyStore.getKey(alias, password.toCharArray());
        if (key instanceof PrivateKey) {
            mPrivateKey = (PrivateKey)key;
            Certificate cert = keyStore.getCertificate(alias);
            mCertificates = new X509Certificate[1];
            mCertificates[0] = (X509Certificate)cert;
        }

        certificateFileStream.close();

    } catch (Exception e) {
        Log.e(TAG, e.getMessage());
    }
}

解决方案分析 #

首先明确：这个错误本质是服务器要求客户端提供证书完成双向SSL认证，核心依赖客户端私钥签名证明身份，但仍有替代方案或安全的私钥处理方式：

一、无需私钥的可行方案

1. 协商修改服务器认证策略
   和IT团队确认：该Launchpad服务是否对移动端WebView有特殊配置？很多企业内部服务会为移动端开放替代认证方式（比如OAuth2、Bearer Token、普通用户名密码登录），绕过客户端证书要求，这是最直接的解决方案。

2. 利用系统已安装的证书
   如果企业已经通过MDM等方式将客户端证书推送到用户设备的系统安全存储中，WebView可以直接调用系统证书选择器，无需在App中嵌入私钥：

@Override
public void onReceivedClientCertRequest(WebView view, final ClientCertRequest request) {
    // 触发系统证书选择对话框，用户选择已安装的客户端证书
    request.chooseClientAlias(null, null, request.getHostAndPort(), request.getPrincipals(), request.getScheme());
}

这种方式私钥完全由系统托管，App无法获取，符合安全要求。

3. 排查服务器SSL证书链问题
   部分情况下，握手失败是因为服务器SSL证书链不完整，WebView不信任根证书。可以针对性处理SSL信任（注意不要盲目跳过所有SSL错误）：

@Override
public void onReceivedSslError(WebView view, SslErrorHandler handler, SslError error) {
    // 仅当错误为企业内部根证书未信任时才放行
    if (error.getPrimaryError() == SslError.SSL_UNTRUSTED) {
        // 可先验证证书指纹是否匹配信任的根证书，再调用proceed
        handler.proceed();
    } else {
        handler.cancel();
    }
}

注意：如果是服务器明确要求客户端证书，这个方法无法解决，仅处理单向SSL信任问题。

二、安全的私钥共享/托管方式

如果必须使用客户端证书，IT团队可以采用以下安全方案：

1. MDM推送证书
   通过企业移动设备管理平台，将包含私钥的客户端证书推送到用户设备的系统安全存储中，App仅调用系统接口使用证书，私钥不会暴露给App，安全性最高。

2. Android Keystore托管私钥
   将私钥导入或生成到Android系统的Keystore中，系统会加密存储私钥，App只能使用但无法导出：

// 示例：生成客户端证书私钥到Android Keystore
KeyPairGenerator keyPairGenerator = KeyPairGenerator.getInstance(KeyProperties.KEY_ALGORITHM_RSA, "AndroidKeyStore");
keyPairGenerator.initialize(new KeyGenParameterSpec.Builder(
        "client_cert_alias",
        KeyProperties.PURPOSE_SIGN | KeyProperties.PURPOSE_DECRYPT)
        .setDigests(KeyProperties.DIGEST_SHA256)
        .setEncryptionPaddings(KeyProperties.ENCRYPTION_PADDING_RSA_PKCS1)
        .build());
KeyPair keyPair = keyPairGenerator.generateKeyPair();
// 后续使用keyPair.getPrivate()处理客户端证书请求

即使App被反编译，也无法获取私钥，大大降低安全风险。

3. 加密Keystore+动态密码
   将包含私钥的Keystore文件加密后嵌入App，Keystore的密码不硬编码在代码中，而是通过服务器动态下发（绑定用户会话）或由用户输入PIN码解锁，避免私钥泄露风险。

内容的提问来源于stack exchange，提问作者Merve Gül