客户端证书错误避坑指南

原创

于 2021-02-01 14:41:22 发布 · 2.2k 阅读

2 ·

CC 4.0 BY-SA版权

文章标签：

#缓存 #移动开发 #安全 #网络协议 #容灾 #网络安全 #数据安全/隐私保护 #Android开发 #iOS开发 #开发者

本文通过mPaaS客户端实例，介绍了由TLS/SSL握手失败导致的连接异常问题及其解决方案，涉及证书历史问题、证书链信任模式及加密套件协商等问题。

简介：HTTPS作为站点安全的最佳实践之一，已经得到了最广泛的支持。然而在实际生产过程中，由TLS/SSL握手失败引起的连接异常问题依然十分常见。本文将结合mPaaS（https://www.aliyun.com/product/mpaas）客户端实际排查案例，介绍这类问题在移动领域的排查和解决方案。

本文始发于：云栖社区
时间：2020-06-10
原文链接：https://yq.aliyun.com/articles/764653

1.背景

HTTPS作为站点安全的最佳实践之一，已经得到了最广泛的支持。然而在实际生产过程中，由TLS/SSL握手失败引起的连接异常问题依然十分常见。本文将结合mPaaS（https://www.aliyun.com/product/mpaas ）客户端实际排查案例，介绍这类问题在移动领域的排查和解决方案。

2. TLS/SSL握手基本流程

HTTPS的主要作用是在不安全的网络上创建一个基于TLS/SSL协议的安全信道，对窃听和中间人攻击提供一定程度的合理防护。TLS/SSL握手的基本流程如下图描述：

图1：TLS/SSL握手基本流程图

3.案例分享

3.1 CFCA证书的历史问题

3.1.1背景
某客户为其生产环境的站点申请了一张由CFCA（https://www.cfca.com.cn/ ）签发的证书。相关域名正确配置该证书且启用HTTPS后，经测试发现他们的客户端App在低版本手机上（iOS<10.0，Android<6.0）无法连接到相关站点。
客户端调试发现，控制台会看到证书无效的错误信息（Invalid Certificate或Certificate Unknown）。

3.1.2排查
起初，工程师并不知道客户的证书是由哪个机构签发以及有什么问题。而对于这类问题，一般均需要对客户端网络包做进一步的分析与判断。因此安排客户在受影响的设备上进行问题复现及客户端抓包操作。

（1）获取到网络包后，首先确认了客户端连接失败的直接原因为TLS握手过程异常终止，见下：