Làm thế nào để proxy charles hoạt động với Android 7 nougat?

Android 7 đã giới thiệu một số thay đổi đối với cách xử lý chứng chỉ ( http://android-developers.blogspot.com/2016/07/changes-to-trusted-certificate.html ) và bằng cách nào đó, tôi không thể làm cho proxy Charles của mình hoạt động được nữa.

Network_security_config.xml của tôi:

<?xml version="1.0" encoding="utf-8"?>
<network-security-config>
    <base-config>
        <trust-anchors>
            <certificates src="system" />
        </trust-anchors>
    </base-config>
    <debug-overrides>
        <trust-anchors>
            <certificates src="user" />
        </trust-anchors>
    </debug-overrides>
</network-security-config>

Tôi đang chạy ở chế độ gỡ lỗi. Nhưng không có vấn đề gì, tôi nhận được javax.net.ssl.SSLHandshakeException: java.security.cert.CertPathValidatorException: Trust anchor for certification path not found..

Không cần phải nói, tôi đã cài đặt một pfxchứng chỉ từ Settings -> Security -> Install from storage. Chứng chỉ hiển thị trong User Credentialsnhưng không hiển thị trong Trusted credentials -> User. Trên thiết bị kẹo mút của tôi, các chứng chỉ được liệt kê ở đó.

Tôi đang sử dụng okhttp3 làm thư viện HTTP.

Bất kỳ ý tưởng những gì tôi đang làm sai?

Dựa trên chuỗi nhận xét khắc phục sự cố cho OP, câu trả lời là chỉ cài đặt chứng chỉ CA của proxy là đáng tin cậy, không phải chứng chỉ + khóa riêng tư của nó.

Vấn đề là do hai yếu tố:

1. Cài đặt không chỉ chứng chỉ CA của proxy MiTM mà còn cả khóa riêng của nó (do đó cho phép các ứng dụng VPN trên thiết bị giải mã / lưu lượng mạng MiTM từ các ứng dụng khác). Bạn không cần khóa riêng của proxy MiTM trên thiết bị.

2. Android Nougat thay đổi về hành vi của quy Settings -> Security -> Install from storagetrình đối với các tệp có chứa khóa riêng tư ngoài (các) chứng chỉ. Sự thay đổi trong hành vi này đã vạch trần vấn đề trên.

Trước Nougat, quy Settings -> Security -> Install from storagetrình cho các tệp chứa khóa riêng tư ngoài các chứng chỉ đã cài đặt sai các chứng chỉ được tin cậy để xác thực máy chủ (ví dụ: HTTPS, TLS, do đó làm cho MiTM của bạn thành công), ngoài việc được cài đặt chính xác làm chứng chỉ ứng dụng khách được sử dụng cho xác thực thiết bị Android này với máy chủ. Trong Nougat, lỗi đã được sửa và các chứng chỉ này không còn được cài đặt để xác thực máy chủ đáng tin cậy nữa. Điều này ngăn không cho thông tin xác thực máy khách ảnh hưởng (dệt) bảo mật của các kết nối đến máy chủ. Trong trường hợp của bạn, điều này ngăn không cho MiTM của bạn thành công.

Điều làm phức tạp vấn đề là Settings -> Security -> Install from storagekhông cung cấp một cách rõ ràng để người dùng chỉ định liệu họ đang cài đặt thông tin xác thực máy khách (khóa riêng tư + chuỗi cert) hay neo tin cậy xác thực máy chủ (chỉ cần chứng chỉ CA - không cần khóa riêng tư) . Do đó, Settings -> Security -> Install from storageluồng đoán xem nó đang xử lý thông tin xác thực xác thực máy khách / người dùng hay neo tin cậy xác thực máy chủ bằng cách giả định rằng, nếu khóa riêng được chỉ định, nó phải là thông tin xác thực khách / người dùng. Trong trường hợp của bạn, nó giả định không chính xác rằng bạn đang cài đặt thông tin xác thực máy khách / người dùng thay vì một mỏ neo tin cậy xác thực máy chủ.

PS Liên quan đến Cấu hình bảo mật mạng của bạn, bạn có thể nên định cấu hình ứng dụng để cũng tin cậy neo tin cậy "hệ thống" trong chế độ gỡ lỗi (phần ghi đè gỡ lỗi). Nếu không, gỡ lỗi các bản dựng của ứng dụng sẽ không hoạt động trừ khi các kết nối được MiTM bởi một proxy có chứng chỉ CA được cài đặt là đáng tin cậy trên thiết bị Android.

Giải pháp là không sử dụng .p12 , chỉ cần điều hướng bằng Chrome (với proxy được định cấu hình trên wifi) đến http://charlesproxy.com/getssl và cài đặt tệp .pem đã tải xuống .

Tôi cũng gặp phải vấn đề tương tự trên Nexus 5X chạy Android 7.0. Trước đó đã có tệp .p12 được xuất từ ​​Charles 3.11.5 (Trợ giúp-> SSL Proxying-> Xuất chứng chỉ gốc Charles và Khóa cá nhân). Khi tôi cố gắng cài đặt .p12 từ điện thoại (Cài đặt-> Bảo mật-> Cài đặt từ bộ nhớ), nó chỉ xuất hiện trong "Thông tin đăng nhập người dùng" chứ không bao giờ xuất hiện ở "Thông tin đăng nhập đáng tin cậy" và tất nhiên SSL với proxy Charles không hoạt động.

Tổng số "hướng dẫn" cho Android 7.0 sẽ như sau:

1. Định cấu hình WiFi + proxy (cách Charles yêu cầu). Kết nối nó.
2. Trên thiết bị, điều hướng bằng Chrome đến http://charlesproxy.com/getssl , chấp nhận yêu cầu tải xuống .pem, sau đó nhấn "mở", ứng dụng này sẽ khởi chạy ứng dụng "Trình cài đặt chứng chỉ". Sử dụng nó để cài đặt chứng chỉ dưới dạng "VPN và ứng dụng".
3. Đặt thuộc tính android:networkSecurityConfig="@xml/network_security_config"để <application>tại manifest.xml
4. Tạo res / xml / network_security_config.xml với nội dung từ bài viết đầu tiên (nó hoàn toàn chính xác).
5. Khởi chạy Charles và ứng dụng và vui chơi.

PS Kiểm tra ngày / giờ trên thiết bị. Nó phải là chính xác.

Tôi đang sử dụng Android 7.1.1, đây là cách tôi thiết lập trên thiết bị của mình (OnePlus One) - mà không cần thay đổi tệp kê khai (tôi đã nhắm mục tiêu API 21 cho ứng dụng của mình):

Trong Charles Proxy:

1. Help > SSL Proxying > Install Charles Root Certificate on a Mobile Device or Remote Browser. Bước này cung cấp cho bạn IP proxy và số cổng cũng như liên kết đến nơi bạn nên tải xuống charles proxy SSL.

Trên điện thoại của bạn:

2. Wifi Settings > Modify Network > Advanced Options. Đặt Proxy thành Manualvà nhập số IP và Cổng mà bạn nhận được từ Charles vào Proxy hostnamevà nhập Proxy porttương ứng.

3. (TÙY CHỌN) Bạn có thể truy cập hoặc không thể truy cập liên kết chls.pro/ssl do Charles cung cấp trước đó. Trên thiết bị của tôi, tôi luôn được thông báo rằng tôi không có kết nối mạng. Tôi đã thêm charlesproxy.com vào Bypass proxy fortrường.

4. Trên trình duyệt của bạn, hãy truy cập liên kết ở bước 3 và tải xuống bất kỳ chứng chỉ nào cần thiết (nếu nó không hoạt động trên Chrome, hãy tải xuống Trình duyệt Dolphin). Bạn có thể đặt tên chứng chỉ của mình bằng bất kỳ tên nào.

Quay lại Charles Proxy:

5. Bạn sẽ nhận được lời nhắc đến một trong hai Allowhoặc Denyđiện thoại của mình sử dụng proxy nếu cài đặt của bạn được đặt mặc định để nhắc bạn kết nối từ xa.

Bây giờ bạn có thể sử dụng Charles trên Nougat 7.1.1.