Android 7: доверенный якорь для пути сертификации не найден

Question

У меня есть приложение, которое подключается к серверу в локальной сети IP. Это соединение шифруется TLS с помощью специального сертификата. Следуя инструкциям на этой стороне, я заставил его работать на всех версиях Android до Android 7. К сожалению, с Android 7 он больше не работает. Пожалуйста, кто-нибудь знает, почему это больше не работает?

Я нашел эту статью и включил файл конфигурации сети со следующим кодом (я знаю, что это может быть небезопасно, но сначала это должно сработать...):

<network-security-config>  
  <base-config>  
       <trust-anchors>  
            <!-- Only trust the CAs included with the app  
             for connections to internal.example.com -->
            <certificates src="@raw/ca_cert" />
            <certificates src="system"/>
       </trust-anchors>
  </base-config>  
</network-security-config>

К сожалению, это все еще не работает. Я также добавил это в манифесте как android:networkSecurityConfig="@xml/network_security_config",

Исключение, которое я получаю (только Android 7+)!

java.security.cert.CertPathValidatorException: Trust anchor for certification path not found

Это код для инициализации моего контекста SSL

// Step 1: Initialize a ssl context with highest version
ssl_ctx = SSLContext.getInstance("TLSv1.2");

// Step 2: Add certificates to context

// Step 2.1 get private key
int pkeyId = context.getResources().getIdentifier("raw/clientkeypkcs", null, context.getPackageName());
InputStream fis = context.getResources().openRawResource(pkeyId);
DataInputStream dis = new DataInputStream(fis);
byte[] bytes = new byte[dis.available()];
dis.readFully(bytes);
ByteArrayInputStream bais = new ByteArrayInputStream(bytes);
byte[] key = new byte[bais.available()];
KeyFactory kf = KeyFactory.getInstance("RSA");
bais.read(key, 0, bais.available());
bais.close();           
PKCS8EncodedKeySpec keysp = new PKCS8EncodedKeySpec ( key );
PrivateKey ff = kf.generatePrivate (keysp);

//Step 2.2 get certificates
int caresId = context.getResources().getIdentifier("raw/ca_cert", null, context.getPackageName());            
InputStream caCertIS = context.getResources().openRawResource(caresId);
CertificateFactory cacf = CertificateFactory.getInstance("X.509");
X509Certificate caCert = (X509Certificate)cacf.generateCertificate(caCertIS);
TrustManagerFactory tmf = TrustManagerFactory.getInstance(TrustManagerFactory.getDefaultAlgorithm());
KeyStore ks = KeyStore.getInstance(KeyStore.getDefaultType());
ks.load(null); // You don't need the KeyStore instance to come from a file.
ks.setCertificateEntry("caCert", caCert);
tmf.init(ks);

int clientresId = context.getResources().getIdentifier("raw/client_cert", null, context.getPackageName());            
InputStream clientCertIS = context.getResources().openRawResource(clientresId);
CertificateFactory clientcf = CertificateFactory.getInstance("X.509");
X509Certificate clientCert = (X509Certificate)clientcf.generateCertificate(clientCertIS);
KeyManagerFactory kmf = KeyManagerFactory.getInstance(KeyManagerFactory.getDefaultAlgorithm());
ks.setCertificateEntry("clientCert", clientCert);
kmf.init(ks, "***********".toCharArray());
Certificate[] chain = new Certificate[] { clientCert};
//ks.load(null); // You don't need the KeyStore instance to come from a file.
ks.setKeyEntry("importkey", ff, "***********".toCharArray(), chain );           

ssl_ctx.init(kmf.getKeyManagers(), tmf.getTrustManagers(), null);

Answer 1

Возможно, у вас отсутствует сертификат пользователя:

<?xml version="1.0" encoding="utf-8"?>
<network-security-config>
    <base-config>
        <trust-anchors>
            <certificates src="system" />
            <certificates src="user" />
        </trust-anchors>
    </base-config>
</network-security-config>

Answer 2

Я столкнулся с такой же проблемой на устройстве Android Oreo

javax.net.ssl.SSLHandshakeException: java.security.cert.CertPathValidatorException: Trust anchor for certification path not found.

Это связано с тем, что дата устройства установлена ​​на старую дату для каких-либо других целей тестирования. Я никогда не знаю, что может вызвать такого рода SSLHandshakeException вопрос. После долгой борьбы я просто установил дату устройства на текущую дату. Решил вопрос.:D

Я думаю, что ваш сценарий может быть другим, и нужно обрабатывать по-другому. Но я только что опубликовал этот ответ, на всякий случай, он может кому-нибудь помочь.