保护Android上的通信安全

<application android:networkSecurityConfig="@xml/network_security_config"

二 更新加密提供程序

---

多年来，HTTPS协议已被多次利用。当安全研究人员报告漏洞时，缺陷通常会被修补。应用修补程序可确保应用程序的网络连接使用最新的行业标准协议。最新版本的协议包含的弱点比以前少。

要更新加密提供程序，您需要包含Google Play服务。在build.gradle的模块文件中，将以下行添加到dependencies部分：

implementation 'com.google.android.gms:play-services-safetynet:15.0.1'

该安全网服务API还有更多的功能，包括安全浏览 API，检查的网址，看看他们是否已被标记为已知威胁，以及验证码 API，以防止垃圾邮件和其他恶意流量您的应用程序。

同步完成后摇篮，你可以调用ProviderInstaller的installIfNeededAsync方法：

public class MainActivity extends Activity implements ProviderInstaller.ProviderInstallListener

{

  @Override

  protected void onCreate(Bundle savedInstanceState)

  {

    super.onCreate(savedInstanceState);

    ProviderInstaller.installIfNeededAsync(this, this);

  }

}

onProviderInstalled()当提供程序成功更新或已更新时，将调用此方法。否则，onProviderInstallFailed(int errorCode, Intent recoveryIntent)被称为。

三 证书和公钥固定

---

当您与服务器建立HTTPS连接时，服务器会显示数字证书并由Android验证，以确保连接安全。证书可以使用来自中间证书颁发机构的证书进行签名。中间权限使用的此证书可以由另一个中间权限签名，依此类推，只要最后一个证书由已被Android操作系统信任的根证书颁发机构签名，这是可信的。

如果信任链中的任何证书无效，则连接不安全。虽然这是一个很好的系统，但它并非万无一失。攻击者可能会指示Android操作系统接受自定义证书。拦截代理可以拥有受信任的证书，如果设备由公司控制，则公司可能已将设备配置为接受其自己的证书。这些场景允许“中间人”攻击，允许解密和读取HTTPS流量。

通过检查根据预期证书副本提供的服务器证书，可以解决证书锁定问题。这可以防止在证书与预期证书不同时建立连接。

为了在Android N及更高版本上实现固定，您需要将证书的哈希（称为引脚）添加到network_security_config.xml文件中。这是一个示例实现：

<?xml version="1.0" encoding="utf-8"?>

<network-security-config>

  <domain-config cleartextTrafficPermitted="false">

    <domain includeSubdomains="true">duckduckgo.com</domain>

    <pin-set>

      <pin digest="SHA-256">lFL47+i9MZkLqDTjnbPTx2GZbGmRfvF3GkEh+J+1F3g=</pin>

      <pin digest="SHA-256">w9MWhhnFZDSPWTFBjaoeGuClsrCs7Z70lG7YNlo8t+s=</pin>

    </pin-set>

  </domain-config>

</network-security-config>

要查找特定站点的引脚，您可以转到SSL实验室，进入该站点，然后单击“ 提交”。或者，如果您正在为公司开发应用程序，您可以向公司询问。

注意：如果您需要支持运行早于Android N的操作系统版本的设备，则可以使用TrustKit库。它以完全相同的方式使用网络安全配置文件。

四 消毒和验证

---

到目前为止，所有的保护措施，您的连接应该是非常安全的。即便如此，也不要忘记定期编程验证。盲目信任从网络收到的数据是不安全的。一个好的编程实践是“按合同设计”，其中您的方法的输入和输出满足定义特定接口期望的合同。

例如，如果您的服务器需要48个字符或更少的字符串，请确保该接口最多只返回48个字符。

if (editText.getText().toString().length() <= 48)

{

    ; //return something...

}

else

{

    ; //return default or error

}

如果您只是期望来自服务器的数字，您的输入应该检查这一点。虽然这有助于防止无辜的错误，但它也降低了注入和内存损坏攻击的可能性。当数据传递给NDK 或 JNI -native C和C ++代码时尤其如此。

将数据发送到服务器也是如此。不要盲目发送数据，特别是如果它是用户生成的。例如，限制用户输入的长度是一种好习惯，特别是如果它将由SQL服务器或将运行代码的任何技术执行。

虽然保护服务器免受攻击超出了本文的范围，但作为移动开发人员，您可以通过删除服务器正在使用的语言的字符来完成您的工作。这样，输入不易受到注入攻击。一些示例是在对用户输入不重要时剥离引号，分号和斜杠：

string = string.replace("\\", "").replace(";", "").replace("\"", "").replace("\'", "");

如果您确切知道预期的格式，则应检查此格式。一个很好的例子是电子邮件验证

private final String emailRegexString = "^[A-Za-z0-9._%+\\-]+@[A-Za-z0-9.\\-]+\\.[A-Za-z]{2,4}$";

private boolean isValidEmailString(String emailString)

{

     return emailString != null &&   Pattern.compile(emailRegexString).matcher(emailString).matches();

}

也可以检查文件。如果您要将照片发送到服务器，则可以将其检查为有效照片。前两个字节和最后两个字节总是FF D8和FF D9 为JPEG格式。

private static boolean isValidJPEGAtPath(String pathString) throws IOException

{

    RandomAccessFile randomAccessFile = null;

    try

    {

        randomAccessFile = new RandomAccessFile(pathString, "r");

        long length = randomAccessFile.length();

        if (length < 10L)

        {

            return false;

        }

        byte[] start = new byte[2];

        randomAccessFile.readFully(start);

        randomAccessFile.seek(length - 2);

        byte[] end = new byte[2];

        randomAccessFile.readFully(end);

        return start[0] == -1 && start[1] == -40 && end[0] == -1 && end[1] == -39;

    }

    finally

    {

        if (randomAccessFile != null)

        {

            randomAccessFile.close();

        }

    }

}

显示直接显示来自服务器的消息的错误警报时要小心。错误消息可能会泄露私人调试或安全相关信息。解决方案是让服务器发送错误代码，客户端查找该错误代码以显示预定义的消息。

五 与其他应用程序通信

给大家的福利

零基础入门

对于从来没有接触过网络安全的同学，我们帮你准备了详细的学习成长路线图。可以说是最科学最系统的学习路线，大家跟着这个大的方向学习准没问题。

同时每个成长路线对应的板块都有配套的视频提供：

因篇幅有限，仅展示部分资料

网上学习资料一大堆，但如果学到的知识不成体系，遇到问题时只是浅尝辄止，不再深入研究，那么很难做到真正的技术提升。

需要这份系统化资料的朋友，可以点击这里获取

一个人可以走的很快，但一群人才能走的更远！不论你是正从事IT行业的老鸟或是对IT行业感兴趣的新人，都欢迎加入我们的的圈子（技术交流、学习资源、职场吐槽、大厂内推、面试辅导），让我们一起学习成长！