Google Play Console数据安全：如何核查应用是否加密传输中的用户数据

你可以按从易到难的顺序用以下三类方法完成核查，覆盖所有传输场景就能得到准确结论：

• 抓包实测验证（最直接，不需要改代码）
  同一局域网内用抓包工具拦截应用所有对外流量，过滤出应用对应服务端的IP、端口段，逐一验证登录、提交个人信息、上传内容、拉取用户数据等所有涉及用户数据传输的场景：
  • 如果能直接从流量包里读出手机号、密码、操作记录等明文敏感信息，说明未做有效传输加密
  • 如果流量载荷为不可读的密文，且TLS握手阶段可查到合规加密套件协商记录，说明走了标准加密传输
    注意：仅做Base64编码、简单移位混淆的内容不算加密，这类内容解码后就能直接拿到明文，属于未加密范畴。
• 代码与配置核查（最准确，可覆盖逻辑漏洞）
  分别核对客户端、服务端的传输相关逻辑和配置：
  1. 客户端侧：检查所有请求是否强制使用HTTPS/TLS 1.2+协议，是否存在HTTP明文请求接口，是否开启了忽略证书校验的配置（比如allowInvalidCertificates=true这类设置，会导致HTTPS加密可被中间人破解，实际加密失效）；如果使用自定义TCP/UDP传输协议，检查载荷是否做了应用层加密，密钥协商逻辑是否有防篡改校验。
  2. 服务端侧：检查是否开放了明文HTTP的业务传输端口，是否配置了HTTP到HTTPS的强制跳转，TLS配置是否禁用了SSLv3、TLS1.0/1.1等存在已知漏洞的老版本协议，是否使用可信CA签发的有效证书，不存在自签名证书随意信任的问题。
• 自动化扫描校验（效率最高，可覆盖漏项）
  用常规漏洞扫描工具对应用服务端做端口扫描，工具会自动识别“明文传输敏感数据”“TLS版本过低”“证书校验逻辑缺陷”这类传输加密相关问题，补全人工核查容易遗漏的配置项。

内容的提问来源于stack exchange，提问作者Jacky