移动应用安全开发指南（Android）--数据传输
| 概述 | 移动应用很多时候并非孤立存在，在多数场景下存在前、后台以及第三方服务之间进行数据交互，因此，在网络中传输敏感数据在所难免，如果不使用正确安全的传输方式，有可能存在敏感信息泄漏的风险。 | |
| 安全准则 | A. 使用SSL协议（或基于SSL的协议）传输敏感数据。 B. 验证服务器证书的有效性，防止中间人攻击，当证书有效性验证失败时应强行断开连接，而不是提示用户。 C. 尽可能地减少使用短信发送敏感信息。 D. 增强项：应用程序可以对敏感数据进行一次独立加密后再通过SSL进行传输。 | |
| 详细描述 | A. 可以使用“证书锁定”（certificate pinning）的方式验证证书的有效性，即在代码中精确的验证当前服务器是否持有某张指定的证书。X509TrustManager接口是实现证书锁定一种方法，它通过在SSL回调函数中读取服务器证书密钥并和程序预埋的证书密钥进行对比，如果两者不一致则强行断开链接（参考附录2）。 | |
| 备注 | A. 任何申请了READ_SMS permission的应用都可以读取短信内容，故应尽量减少使用短信发送敏感信息。 B. 应用自身进行一次独立加密的好处是，当出现SSL协议相关漏洞（比如影响巨大的openssl heart bleed漏洞）时能够有效减少损失。 C. “证书锁定”的缺点是：由于证书是预埋在应用程序内的，是当服务器更新证书时，应用程序也要同步更新。 | |
注：如果IE显示格式不正确，请使用chrome浏览器
附录2：
使用“证书锁定”验证证书有效性方案：
/* 使用https需要定义实现X509TrustManager接口的类，并重写里面的方法，这些方法会在建立SSL链接的过程中被自动调用 */
public final class PubKeyManager implements X509TrustManager
{
/* 此处存放服务器证书密钥 */
private static String PUB_KEY =
"30820122300d06092a864886f70d01010105000382010f"
+ "003082010a0282010100973a0569971991dc9446f309ec0af7646377dca80eb1"
+ "e1357f5fb5c69d046d03d23f6cf743d155e7b44d834cf71d6500a8b1e38110b5"
+ "35ad07212a50e1f3ab497acfde74e065018d64136d14d63d04604124aacd74ea"
+ "037a5f8d6894aadd58f7774655761c9fba22426935794f6740fa89b6f7e902b8"
+ "e02c0b842116272701c9edaef62c977b0df488847c2e0a75028865be34c98903"
+ "be11a2cf4495acec5c958ddf64619808e641bac64ab432e4638e969f4214d7bc"
+ "88db81feaef4d5d329f93f2e79535b2d00c01145823b664ca7ab8db9de858d29"
+ "161c6cce86decb6a4f66cf86afb79e182a5b5a2bb6d8795af749f7af356aef2e"
+ "64b6ae785ff88d456f970203010001";
/* https协商中获取的服务器证书链(chain)将自动传入该方法 */
public void checkServerTrusted(X509Certificate[] chain, String authType) throws CertificateException
{
if (chain == null) {
throw new IllegalArgumentException("checkServerTrusted: X509Certificate array is null");
}
if (!(chain.length > 0)) {
throw new IllegalArgumentException("checkServerTrusted: X509Certificate is empty");
}
/* authType为建立SSL链接时使用的非对称加密算法，RSA为业界主流算法 */
if (!(null != authType && authType.equalsIgnoreCase("RSA"))) {
throw new CertificateException("checkServerTrusted: AuthType is not RSA");
}
/* 执行SSL/TLS常规性检查 */
try {
TrustManagerFactory tmf = TrustManagerFactory.getInstance("X509");
tmf.init((KeyStore) null);
for (TrustManager trustManager : tmf.getTrustManagers()) {
((X509TrustManager) trustManager).checkServerTrusted(chain, authType);
}
} catch (Exception e) {
throw new CertificateException(e);
}
/* 将编码后的密钥转换成16进制形式的大整数 */
RSAPublicKey pubkey = (RSAPublicKey) chain[0].getPublicKey();
String encoded = new BigInteger(1, pubkey.getEncoded()).toString(16);
/* 比较预埋证书密钥和服务器证书密钥是否一致 */
final boolean expected = PUB_KEY.equalsIgnoreCase(encoded);
if (!expected) {
throw new CertificateException("checkServerTrusted: Expected public key: "
+ PUB_KEY + ", got public key:" + encoded);
}
}
}
}
