Comment les certificats sont-ils validés contre le magasin Trust Storage par défaut? -- security domaine et certificates domaine et https domain android en relation problème

How are certs validated against default trust store?



1
vote

problème

français

Par une certaine lecture, j'ai une compréhension assez approximative sur la manière dont HTTPS fonctionne avec des applications Android, en particulier comment les validations de certificat sont effectuées. Certaines des ressources que j'ai mentionnées pour gagner cette compréhension seraient:

Valider les certificats dans Android

SSL dans les applications Android

Validation SSL - Android

Selon ma compréhension, je pouvais dire à peu près que les applications peuvent valider contre:

  1. Le magasin de fiducie par défaut que Android fournit - qui dispose d'une liste de tous les certificats de CA qui sont par défaut fiancés par le système d'exploitation et par conséquent par le navigateur et l'application elle-même. C'est la même liste de CAS qui peut également être vue dans Paramètres - & GT; Sécurité - & GT; Critiques de confiance (en JB +) ou système / etc / Security / CaCertS.bks (dans Android & LT; JB)

ou

  1. Les développeurs peuvent choisir de définir leurs propres clés personnalisées et de faire une SSLSocketFactory avec eux pour faire confiance à leur magasin Trust personnalisé.

Ma question s'articule autour du premier cas décrit ci-dessus. Dans la plupart des endroits que je pouvais lire à ce sujet, j'ai découvert que cela a mentionné que, pour valider les certificats contre le magasin Trust Storage par défaut, le développeur n'a pas vraiment besoin de faire quelque chose explicitement. Il suffit d'appuyer sur le point d'extrémité HTTPS et de jouer avec l'objet HTTPSURLConnection renvoyé.

La validation du certificat elle-même est interne (par défaut) prise en charge par Android OS.

Maintenant, j'aimerais savoir comment est-ce exactement ce qui précède (mis en surbrillance) fait? Quelle est la méthode API / interne / autre chose que Android appelle réellement à cette validation de certificat? Où puis-je trouver cette information? Une approche que je peux penser consiste à traverser la source Android elle-même, mais je n'ai aucune idée que la partie du code le fait (et plus ce serait beaucoup d'efforts).

Veuillez vous conseiller.

langue Anglaise

Through some reading, I have a fairly rough understanding about how https works with Android apps, especially how are certificate validations done. Some of the resources that I referred to for gaining this understanding would be :

Validating certs in Android

SSL in Android apps

Validating SSL - Android

As per my understanding, I could roughly say that apps can validate against :

  1. The default Trust Store that Android provides - which has a list of all the CA certificates that are by default trusted by the OS and hence by the browser and the app itself. This is the same list of CAs that can also be seen in Settings -> Security -> Trusted credentials (in JB+) or system/etc/security/cacerts.bks (in Android < JB)

OR

  1. Developers can choose to define their own custom keystores and make an SSLSocketFactory with them to trust their custom trust store.

My question revolves around the first case described above. In most of the places that I could read about it, I discovered it mentioned that for validating the certificates against the default Trust Store, the developer does not really need to do anything explicitly. Just hit the https end point and play on with the HttpsUrlConnection object returned.

The certificate validation itself is internally (by default) taken care of by Android OS.

Now I would like to know how exactly is the above (highlighted) done ? What is the API/internal method/anything else that Android actually calls to do this certificate validation ? Where can I find this information ? One approach I can think of is to go through the Android source itself, but I have no clue which part of the code does it (and plus it would be a lot of efforts).

Please advice.

        

Liste de réponses


Questions connexes

0  Y a-t-il un problème connu avec HTTPS et le navigateur Android?  ( Is there a known issue with https and the android browser ) 
J'ai une galaxie S2 en cours d'exécution 2.3.3, toutes à jour et non enracinées. Sur plusieurs sites, je trouve que la journalisation est impossible en raison...

7  Comment Android Manipulez-vous WiFi Root CAS? Devraient-ils être une préoccupation de sécurité?  ( How does android handle wifi root cas should they be a security concern ) 
Moniversité exige que je puisse installer une racine personnalisée CA pour se connecter à leur réseau WiFi. Lorsque je l'ai installé sur mon téléphone, cela m...

3  Comment contourner les erreurs de certificat dans Google Chrome Android?  ( How to bypass certificate errors in google chrome android ) 
apparemment chrome de bureau a un drapeau appelé --ignore-certificate-errors qui vous permet de contourner tous les avertissements de certificats. Y a-t-il ...

3  Décrypter le trafic HTTPS des applications Android via Fiddler?  ( Decrypting https traffic from android apps via fiddler ) 
J'essaie réellement de déboguer tout le trafic aller-retour sur mon téléphone. J'utilise Fiddler sur mon PC et proxydroid sur mon téléphone pour le faire. Le ...

1  Impossible d'installer un fichier APK modifié  ( Unable to install a modified apk file ) 
Je veux surveiller le trafic HTTPS d'une application Android téléchargée à partir de Google Play. Cette application ne peut être exécutée qu'à Android N et ...

1  Comment les certificats sont-ils validés contre le magasin Trust Storage par défaut?  ( How are certs validated against default trust store ) 
Par une certaine lecture, j'ai une compréhension assez approximative sur la manière dont HTTPS fonctionne avec des applications Android, en particulier commen...

18  Certificat auto-signé Installez le succès des réclamations, mais Android agit comme si le certificat n'est pas là  ( Self signed certificate install claims success but android acts as if cert isn ) 
J'essaie d'installer le certificat auto-signé pour mon serveur Web à Android 4.3. J'ai le fichier .crt dans la racine de la carte SD (qui est réellement émulé...

1  La page ne peut pas être chargée dans S4 en utilisant http, mais elle fait dans https  ( Page cant be loaded in s4 using http but it does in https ) 
Je suis des problèmes particuliers chargant un site Web dans My Galaxy S4, Chrome et le navigateur par défaut. Dans mon cas, lorsque j'essaie d'accéder à un f...

4  Support Android pour TLS  ( Android support for tls ) 
J'ai trouvé que TLS1.1 et TLS1.2 est pris en charge à partir du niveau d'API 16 et activé par défaut du niveau API 20. Ceci correspond à Android 4.1 (supporté...

2  Où obtenir OpenSSL binaire pour Android?  ( Where to get openssl binary for android ) 
J'ai un nexus 10 (déverrouillé et ampli; enraciné) et je voulais obtenir le binaire OpenSSL sur là afin que je puisse vérifier les certificats HTTPS: $ ope...




© 2022 www.demandez.top All Rights Reserved. Questions et réponses Accueil Tous les droits sont réservés