java - 保护 Android 应用程序免受网络嗅探

Question

我正在使用 Retrofit 向我的应用程序的网络 API 发出获取/发布请求。

我在我的服务器上安装了 ssl，所以我可以通过 https 成功连接我的 web api。

(注意:ssl 证书不是自签名的。)

奇怪的是，您可以使用此应用捕获 get/post 或其他请求:https://play.google.com/store/apps/details?id=app.greyshirts.sslcapture

此外，如果您使用 http 或 https 也没关系。“数据包捕获”应用程序可以捕获所有网络请求...

(您必须在设备上安装 Packet Capture 应用的证书才能工作)

问题是，

我想保护我的应用免受网络嗅探，我该怎么做？

如果重要的话，我正在使用 asp.net/iis 8 作为 web api

Answer 1

如果您希望他人无法读取您的网络流量，无论他们在哪里查看，您都必须在自己的代码中自行加密和解密所有内容，而不是依赖操作系统提供的任何内容。使用适当的强加密方案。

这只对你开放，因为你控制着服务器和客户端。