Luego de publicar una actualización de una aplicación en Google Play recibí un correo indicando que rechazaban la aplicación por cuestiones de seguridad. Específicamente por utilizar TrustManager. En el correo adjuntan un link con información pero no me ayudó mucho: https://support.google.com/faqs/answer/6346016
Adjunto el código que Google señala como vulnerable:
public String getInformation() {
try {
URL url = new URL(“url”);
HttpsURLConnection con = (HttpsURLConnection) url.openConnection();
SSLContext sslcontext = SSLContext.getInstance("TLSv1");
sslcontext.init(null, null, null);
SSLSocketFactory sslSocketFactory = createSslSocketFactory();
HostnameVerifier hostnameVerifier = new HostnameVerifier() {
@Override
public boolean verify(String hostname, SSLSession session) {
HostnameVerifier hv = HttpsURLConnection.getDefaultHostnameVerifier();
return true;
}
};
con.setRequestMethod("POST");
con.setHostnameVerifier(hostnameVerifier);
con.setSSLSocketFactory(sslSocketFactory);
con.setRequestProperty("Content-type", "text/xml; charset=utf-8");
con.setRequestProperty("SOAPAction", "");
con.setDoOutput(true);
con.setDoInput(true);
OutputStream reqStream = con.getOutputStream();
reqStream.write(xmlMetodo.getBytes());
reqStream.flush();
// Reading the SOAP response XML message
byte[] byteBuf = new byte[1024];
InputStream resStream = con.getInputStream();
String result = streamToString(resStream);
return result;
} catch (Exception e) {
e.printStackTrace();
}
}
private static SSLSocketFactory createSslSocketFactory() throws Exception {
TrustManager[] byPassTrustManagers = new TrustManager[]{new X509TrustManager() {
public X509Certificate[] getAcceptedIssuers() {
return new X509Certificate[0];
}
public void checkClientTrusted(X509Certificate[] chain, String authType) { }
public void checkServerTrusted(X509Certificate[] chain, String authType) throws CertificateException {
try {
chain[0].checkValidity();
} catch (Exception e) {
throw new CertificateException("Certificate not valid or trusted.");
}
}
}};
SSLContext sslContext = SSLContext.getInstance("TLS");
sslContext.init(null, byPassTrustManagers, new SecureRandom());
return sslContext.getSocketFactory();
}
¿Alguien ha pasado por una situación similar? No sé qué debería cambiar para que el app sea aceptada. El código no lo hice yo, pero me encargaron publicar la actualización y como fue rechazada también me encargaron arreglarla.
Gracias.