您正在使用X509TrustManager的不安全实现

Question

我在Google Play上有一个应用程序,今天我收到了Google的一封邮件说:

Google Play警告:您正在使用X509TrustManager的不安全实施

它说明了SSL证书问题以及解决问题的方法.

因为好奇,我问这个问题,

1. 实际上这个警告到底是什么？
2. 我没有在我的应用程序中使用任何与网络相关的活动(这是一个本地数据库驱动的应用程序),为什么我的应用程序出现了这个警告？

更多细节:

我的应用程序是使用Appcelerator Titanium构建的,google说这个实现是在ti.modules.titanium.network.NonValidatingTrustManager;.我确信我的代码中从未使用过这样的类.

Answer 1

实际上这个警告到底是什么？

您应该已经链接到此页面,这解释了它的全部内容.简而言之,谷歌正在为搞砸SSL的人扫描应用程序,例如盲目地接受所有证书都是有效的.

我没有在我的应用程序中使用任何与网络相关的活动(这是一个本地数据库驱动的应用程序),为什么我的应用程序出现了这个警告？

因为APK中的其他内容已完成此操作.在这个开发人员的情况下,它是一个库.

我的应用程序是使用Appcelerator Titanium构建的,谷歌称此实现位于ti.modules.titanium.network.NonValidatingTrustManager;中.我确信我的代码中从未使用过这样的类.

您可能没有直接使用它.但是,其他东西正在使用它.或者,它可能就在那里,因为它只是整个Titanium框架的一部分并保留在您的APK中.

Answer 2

Appcelerator正在JIRA上跟踪此问题:https: //jira.appcelerator.org/browse/TIMOB-20431

我们还在此处发布了一篇博客文章:http: //www.appcelerator.com/blog/2016/02/google-security-alert-unsafe-implementation-of-the-interface-x509trustmanager/

该电子邮件讲述了新提交的(!)应用和更新的5月17日截止日期.我们将及时准备好修复和指示.