Https证书校验不当引起的安全问题

1. 使用Webview进行HTTPs通信

Android系统内置了一些可信机构办法的证书，可用于作HTTPs证书校验。实际上，使用Webview组件进行HTTPs通信，其证书验证环节也是系统默认会去做的。若发现证书不合法，Webview将显示一个空白页面，其错误在onReceivedSslError()这个方法里进行处理。使用Webview进行HTTPs通信应当遵循如下安全规范：
1) onReceivedSslError()方法里不能简单地用proceed()方法进行处理，建议给用户一定的提示（如“SSL证书错误，是否继续连接”等）。
这里给出错误的代码示例。

public void onReceivedSslError(WebView view, SslErrorHandler handler, SslError error){
    // 只简单地调用proceed()方法，忽略证书错误问题
    paramSslErrorHandler.proceed();
}

一般来说，使用Webview连接带有可信机构颁发证书的HTTPs站点，onReceivedSslError()方法里无需作任何处理（系统默认是拒绝连接的），这里给出正确的示例代码。

public void onReceivedSslError(WebView view, SslErrorHandler handler, SslError error){
    // Do nothing
    // 效果同 paramSslErrorHandler.cancel();
}

2. X509TrustManager

X509TrustManager用于实现SSL证书的安全校验，若使用不当，将导致APP对SSL证书不作校验，从而使黑客有了中间人攻击的可乘之机。开发者经常犯的错误有如下：
 自定义X509TrustManager，且不做任何校验逻辑，一般为空实现；
这里给出常见的自定义X509TrustManager的错误示例代码(以使用HttpsURLConnection进行HTTPs连接的情况为例)。

SSLContext localSSLContext = SSLContext.getInstance("TLS");
TrustManager[] arrayOfTrustManager = new TrustManager[1];
// 自定义X509TrustManager
arrayOfTrustManager[0] = new MyTrustManager();
localSSLContext.init(null, arrayOfTrustManager, new SecureRandom());
HttpsURLConnection.setDefaultSSLSocketFactory(localSSLContext.getSocketFactory());
HttpsURLConnection localHttpsURLConnection = (HttpsURLConnection) new
URL(paramString).openConnection();
……
class MyTrustManager implements X509TrustManager{
   
   
    // 不作任何校验
  public void checkClientTrusted(X509Certificate[] paramArrayOfX509Certificate, String paramString) {}
        // 不作任何校验
    public void checkServerTrusted(X509Certificate[] paramArrayOfX509Certificate, String paramString) {}
    // 返回null
    public X509Certificate[] getAcceptedIssuers(){
        return null;
    }
}

使用上述方式进行HTTPs通信，将存在中间人攻击的可能。由于缺乏证书校验机制，黑客可以通过使用自签名证书，结合DNS欺骗，使用户访问恶意页面。因此，使用HttpsURLConnection或HttpClient进行HTTPs通信时，需要验证证书的合法性。这里把HTTPs站点作分类：
A. 带有可信机构颁发证书的HTTPs站点；
B. 带有自签名证书的HTTPs站点。
对于A类站点，可借助Android系统自带的证书校验机制，开发者无需自己实现任何代码；对于B类站点，则需要把证书文件内置到apk中，根据证书keystore得到用于校验证书内容的TrustManager，并设置在SSLContext当中。
使用HttpsURLConnection或HttpClient进行HTTPs通信，需要遵循如下安全规范：
1) 访问A类站点时，不要自定义X509TrustManager；
2) 访问B类站点时，把证书文件打包到apk中，并根据证书的keystore生成TrustManager。
这里给出使用HttpsURLConnection访问A类站点时的示例代码。

SSLContext localSSLContext = SSLContext.getInstance("TLS");
// 不要自定义X509TrustManager
localSSLContext.init(null, null, new SecureRandom());
HttpsURLConnection.setDefaultSSLSocketFactory(localSSLContext.getSocketFactory());
HttpsURLConnection localHttpsURLConnection = (HttpsURLConnection) new
URL(paramString).openConnection();
这里给出使用HttpsURLConnection访问B类站点时的示例代码。
// 根据证书文件生成keystore
private KeyStore certTrusted(Context context) throws Exception {
    // 从资源文件中获取.cer证书文件
       AssetManager am = context.getAssets()