Android逆向证书相关处理

持续更新中

bks证书

本节来源：Android Https CA证书库BKS制作、查看和使用

背景介绍

CA证书通常分为三级：根证、二级证书、服务器证书，这三级证书形成了一个证书链，可用于逐级校验CA证书的合法性（证书链其实也可以是两级或更多）

手机中默认已内置了市面上的主流根证，所以当我们通过各类网络库（如：OKHttp）进行Https通信时，实际上是使用的本地根证校验的。再者，当我们通过浏览器访问各大Https的网站时，也是基于系统内置的根证进行校验的。

所以，安卓使用Https与服务器通信时，项目中默认是不用内置CA根证的。

如果我们在手机设置中，手动停用了服务器对应的根证，再与服务器通信，就会报SSL异常。如果通过浏览器访问服务端的网页，也会弹出类似的提示：未授信的网站。
实际上，用户一般不清楚手机中授信的列表是什么意思，也不会随便禁用根证的。

但是也有很多软件还是选择将CA证书存放在项目本地，一起打包到apk中，原因：

1. 怕用户手动禁用掉手机授信列表中的CA根证
2. 怕中间人攻击(与CA厂商沟通，这种事情一般不会发生的，如果真被黑客拦截，基本上也破解不了，
   否则，证书也就没安全性可言了)
3. 使用了非官方CA机构颁发的证书（如自己制作的证书）

那么，安卓APP中如何内置服务器对应的根证呢？

在安卓中，通常使用.bks格式的证书库来放置证书，好处是：

• 我们可以将1~多个如 .crt 格式的CA根证存入bks库中
• 当与服务器https通信时，会自动匹配、使用bks库中合适的证书

举例，直白一点：

• 如果bks中内置了a、b两个根证，服务器默认使用a进行通信，当a快过期时，服务器SSL配置切换成与b根证对应的未过期的服务器证书，这时候app不用做任何调整，也不用升级的

Keytool 环境

Java的 Keytool 工具可以用来制作 bks

• 安装java环境, 配置环境变量 (略)
• 下载 bcprov-ext-jdk15on-158.jar
• 将 jar 文件拷贝到 %JAVA_HOME%\jre\lib\ext;

创建/导入根证书到bks库

要导入的根证类型一般是 .cer 或者 .crt。如果要导入多个根证，执行多次下面的命令即可。

keytool -importcert -v -trustcacerts -alias myalas1 -file VeriSign.cer -keystore mytrustcerts.bks -storetype BKS -provider org.bouncycastle.jce.provider.BouncyCastleProvider -storepass '123456'

• alias xxx：请修改成自己的别名
• file xxx.cer：指要导入的根证文件，请修改成自己的根证文件名称
• keystore xxx.bks：本地bks证书库文件，修改成自己的证书库文件名称，如果文件不存在，会自动创建
• storepass <pwd>：证书库密码

查看bks证书库列表

keytool -list -rfc -keystore xxx.bks -storetype bks

从bks证书库中导出证书

keytool -exportcert -alias 048root -file 048root.cer -keystore .\hmsrootcas.bks -storetype BKS -provider org.bo