不安全的 X.509 TrustManager

OWASP 类别：MASVS-CODE：代码质量

概览

X509TrustManager 类负责验证远程服务器的真实性。具体方法是验证服务器的证书。

Android 应用中的不安全 X509TrustManager 实现是指实现无法正确验证与应用通信的服务器的真实性。这会使得攻击者能够冒充合法服务器，诱使应用向攻击者发送敏感数据。

由于使用 X509TrustManager 类时，Java 和 Android 会允许完全替换服务器验证，因此存在漏洞。X509TrustManager 类有两个有利益关系的函数：checkServerTrusted() 和 getAcceptedIssuers()。这些函数调用可以配置为信任所有 X.509 证书。自定义验证逻辑可能存在错误或不完整，并且允许意外连接。在所有这些情况下，该类的用途已被否定，而且基于 X509TrustManager 输出建立的网络连接也不安全。

影响

不安全的 X509TrustManager 实现可能会导致漏洞，攻击者可以利用这些漏洞对来自受害应用的网络流量实施 MitM（中间人）攻击。利用此不安全代码的影响是，如果触发此代码，用户的应用网络数据可能会因为遭受（远程或本地）网络攻击而泄露。具体影响取决于无意中被泄露的网络流量的内容（个人身份信息、私密信息、敏感会话值、服务凭据等）。

缓解措施

使用 NetworkSecurityConfig.xml 功能来确保正确处理所有生产、测试、调试和开发阶段连接，而不是使用或实现自定义 TLS/SSL 证书验证代码。如果测试和调试 build 需要使用自签名证书，请考虑使用 NetworkSecurityConfig，而不是实现自定义 X509TrustManager。

资源