1

Luego de publicar una actualización de una aplicación en Google Play recibí un correo indicando que rechazaban la aplicación por cuestiones de seguridad. Específicamente por utilizar TrustManager. En el correo adjuntan un link con información pero no me ayudó mucho: https://support.google.com/faqs/answer/6346016

Adjunto el código que Google señala como vulnerable:

public String getInformation() {

    try {
        URL url = new URL(“url”);

        HttpsURLConnection con = (HttpsURLConnection) url.openConnection();

        SSLContext sslcontext = SSLContext.getInstance("TLSv1");
        sslcontext.init(null, null, null);

        SSLSocketFactory sslSocketFactory = createSslSocketFactory();

        HostnameVerifier hostnameVerifier = new HostnameVerifier() {
            @Override
            public boolean verify(String hostname, SSLSession session) {
                HostnameVerifier hv = HttpsURLConnection.getDefaultHostnameVerifier();
                return true;
            }
        };

        con.setRequestMethod("POST");
        con.setHostnameVerifier(hostnameVerifier);
        con.setSSLSocketFactory(sslSocketFactory);
        con.setRequestProperty("Content-type", "text/xml; charset=utf-8");
        con.setRequestProperty("SOAPAction", "");
        con.setDoOutput(true);
        con.setDoInput(true);

        OutputStream reqStream = con.getOutputStream();
        reqStream.write(xmlMetodo.getBytes());
        reqStream.flush();

        // Reading the SOAP response XML message
        byte[] byteBuf = new byte[1024];
        InputStream resStream = con.getInputStream();

        String result = streamToString(resStream);
        return  result;


    } catch (Exception e) {
        
        e.printStackTrace();
      
    }

}

private static SSLSocketFactory createSslSocketFactory() throws Exception {

    TrustManager[] byPassTrustManagers = new TrustManager[]{new X509TrustManager() {

        public X509Certificate[] getAcceptedIssuers() {

            return new X509Certificate[0];
}

        public void checkClientTrusted(X509Certificate[] chain, String authType) { }

        public void checkServerTrusted(X509Certificate[] chain, String authType) throws CertificateException {
            try {
                chain[0].checkValidity();
            } catch (Exception e) {
                throw new CertificateException("Certificate not valid or trusted.");
            }
        }

    }};

    SSLContext sslContext = SSLContext.getInstance("TLS");
    sslContext.init(null, byPassTrustManagers, new SecureRandom());
    return sslContext.getSocketFactory();
}

¿Alguien ha pasado por una situación similar? No sé qué debería cambiar para que el app sea aceptada. El código no lo hice yo, pero me encargaron publicar la actualización y como fue rechazada también me encargaron arreglarla.

Gracias.

0

1 respuesta 1

0

Básicamente lo que indica Google en el articulo mencionado es :

Para manejar correctamente la validación del certificado SSL, cambie su código en el método checkServerTrusted de su interfaz X509TrustManager personalizada para generar CertificateException o IllegalArgumentException siempre que el certificado presentado por el servidor no cumpla con sus expectativas. En particular, tenga en cuenta los siguientes errores:

  1. Asegúrese de que las excepciones generadas por checkServerTrusted no queden atrapadas dentro del método. Esto haría que checkServerTrusted se cerrara normalmente, lo que llevaría a la aplicación a confiar en un certificado dañino.
  2. No utilice checkValidity para verificar el certificado del servidor. checkValidity comprueba si un certificado no ha caducado y no puede decir si no se debe confiar en un certificado.

Para esto puedes usar los siguientes métodos:

@SuppressLint("TrustAllX509TrustManager")
private void trustAllHosts() {
    try {
        HttpsURLConnection.setDefaultHostnameVerifier(new NullHostNameVerifier());
        SSLContext mSslContext = SSLContext.getInstance("TLS");
        TrustManager[] trustAllCerts = new TrustManager[] { new X509TrustManager() {
            public X509Certificate[] getAcceptedIssuers() { return new X509Certificate[] {}; }
            public void checkClientTrusted(X509Certificate[] chain, String authType) {}
            public void checkServerTrusted(X509Certificate[] chain, String authType) {}
        }};
        mSslContext.init(null, trustAllCerts, new SecureRandom());
        HttpsURLConnection.setDefaultSSLSocketFactory(mSslContext.getSocketFactory());
    } catch (Exception e) {
        e.printStackTrace();
    }
}

private class NullHostNameVerifier implements HostnameVerifier {
    @Override
    public boolean verify(String hostname, SSLSession session) {
        return true;
    }
}

Los cuales usarías para validar si la url a la cual deseas realizar la petición usa SSL, lo realizarías de esta forma:

public String getInformation() {

    try {
        URL url = new URL(“url”);

        HttpsURLConnection con = (HttpsURLConnection) url.openConnection();

       //Validar SSL
       if(url.getProtocol().equalsIgnoreCase("https"))
           trustAllHosts();

        /*
        SSLContext sslcontext = SSLContext.getInstance("TLSv1");
        sslcontext.init(null, null, null);

        SSLSocketFactory sslSocketFactory = createSslSocketFactory();

        HostnameVerifier hostnameVerifier = new HostnameVerifier() {
            @Override
            public boolean verify(String hostname, SSLSession session) {
                HostnameVerifier hv = HttpsURLConnection.getDefaultHostnameVerifier();
                return true;
            }
        };*/

        con.setRequestMethod("POST");
        con.setHostnameVerifier(hostnameVerifier);
        con.setSSLSocketFactory(sslSocketFactory);
        con.setRequestProperty("Content-type", "text/xml; charset=utf-8");
        con.setRequestProperty("SOAPAction", "");
        con.setDoOutput(true);
        con.setDoInput(true);

        OutputStream reqStream = con.getOutputStream();
        reqStream.write(xmlMetodo.getBytes());
        reqStream.flush();

        // Reading the SOAP response XML message
        byte[] byteBuf = new byte[1024];
        InputStream resStream = con.getInputStream();

        String result = streamToString(resStream);
        return  result;


    } catch (Exception e) {
        
        e.printStackTrace();
      
    }

}
2
  • 1
    Gracias, con esto pude solucionarlo
    – ruler11
    el 22 dic. 2020 a las 16:54
  • Excelente @ruler11 saludos!
    – Jorgesys
    el 22 dic. 2020 a las 16:55

Tu Respuesta

By clicking “Publica tu respuesta”, you agree to our terms of service and acknowledge you have read our privacy policy.

¿No es la respuesta que buscas? Examina otras preguntas con la etiqueta o formula tu propia pregunta.