android - Codenameone Google Play 警告 : SSL Error Handler Vulnerability

Question

我使用codename one 平台开发了一个应用程序，在 Play 商店提交该应用程序后，我收到了以下警告电子邮件:

*“我们检测到您在本电子邮件末尾列出的应用程序正在使用不安全的 WebViewClient.onReceivedSslErrorHandler 实现。您还可以查看受影响应用程序的列表，以及版本号和类名称，在开发者控制台的警报页面上。

您当前的实现会忽略所有 SSL 证书验证错误，使您的应用容易受到中间人攻击。攻击者可以更改受影响的 WebView 的内容、读取传输的数据(例如登录凭据)并使用 JavaScript 在应用程序内部执行代码。

发生了什么

从 2016 年 11 月 25 日开始，Google Play 将阻止发布任何包含此漏洞的新应用或更新。您发布的 APK 版本将不受影响，但除非您解决此漏洞，否则对该应用的任何更新都将被拒绝。需要采取行动

• 要正确处理 SSL 证书验证，请更改您的代码以在服务器提供的证书符合您的预期时调用 SslErrorHandler.proceed()，否则调用 SslErrorHandler.cancel()。
• 如果您使用的是对此负责的第 3 方图书馆，请通知第 3 方并与他们合作解决该问题。
• 进行更改后，登录您的开发者控制台并提交应用的更新版本。
• 五小时后回来查看 - 如果应用未正确更新，我们会显示一条警告消息。”*

我正在研究，但不幸的是我没有找到任何相关信息。我认为这可能是平台的内部问题，但不确定。你怎么看？

提前致谢。

Answer 1

不正确地验证 SSL 连接的证书是一个严重的问题，因为这样你会有效地削弱 SSL 提供的保护很多，并允许容易的中间人攻击。这样，攻击者可能会嗅探传输的数据，甚至修改数据。因此，该问题应该得到解决。

但是根据当前显示的信息，无法确定错误是在您的(未知)代码中还是在某些(未知)第三方库中，或者是在第三方库的错误使用中。但此类错误的一个常见原因是有人试图使用自签名证书并为此关闭验证。另一个常见原因是打算仅为开发关闭验证，但随后无意中未能再次为生产启用它。