מידע זה מיועד למפתחי אפליקציות המכילות יישום לא מאובטח של הממשק X509TrustManager.
מה קורה?
לפחות אחת מהאפליקציות שלכם מכילות יישום לא מאובטח של הממשק X509TrustManager. באופן ספציפי, היישום מתעלם מכל שגיאת אימות של אישור SSL בעת הקמת חיבור HTTPS למארח מרוחק, ובכך גורם לאפליקציה להיות חשופה להתקפת אדם בתווך. תוקף עלול לקרוא נתונים משודרים (כגון פרטי כניסה והתחברות) ואף לשנות את הנתונים המועברים בחיבור HTTPS. יש לעיין בשלבים המפורטים שבהמשך כדי לפתור את הבעיה באפליקציות שלכם. לאחר המועדים האחרונים לתיקון שמוצגים ב-Play Console, ייתכן שנסיר מ-Google Play אפליקציות שיכילו פרצות אבטחה שלא תוקנו.
הפעולה הנדרשת
- נכנסים לחשבון Play Console ועוברים לקטע ההתראות כדי לבדוק אילו אפליקציות מושפעות מהבעיות ומהם המועדים האחרונים לתיקון.
- מעדכנים את האפליקציות המושפעות ומתקנים את פרצת האבטחה.
- שולחים את הגרסאות המעודכנות של האפליקציות המושפעות.
לאחר השליחה החוזרת, האפליקציה שלכם תיבדק שוב. תהליך זה עשוי להימשך כמה שעות. אם האפליקציה עוברת את הבדיקה ומתפרסמת בהצלחה, לא יהיה צורך בפעולה נוספת. אם האפליקציה תיכשל בבדיקה, גרסת האפליקציה החדשה לא תתפרסם ותקבלו התראה באימייל.
פרטים נוספים
כדי לטפל כראוי באימות של אישור SSL, יש לשנות את הקוד בשיטת checkServerTrusted של ממשק X509TrustManager בהתאמה אישית, כך שיציג CertificateException או IllegalArgumentException בכל פעם שהאישור שהשרת מציג לא תואם לציפיות שלכם. בפרט, יש לשים לב למכשולים הבאים:
- ודאו שהחריגים שה-checkServerTrusted מעלה לא מזוהים ב-method. זה יגרום ל-checkServerTrusted לבצע יציאה רגילה ואז האפליקציה תבטח באישור מזיק.
- אין להשתמש ב-checkValidity למטרת בדיקה של אישור השרת. ב-checkValidity נבדק תוקף האישור ולא ניתן להבין אם אין לבטוח באישור.
תוכלו גם להשתמש בתצורה של אבטחת הרשת כדי לבצע התאמה אישית להתנהגות האישור של האפליקציה בדרך שתהיה פחות חשופה לשגיאות.
אנחנו כאן כדי לעזור
אם יש לכם שאלות טכניות לגבי פרצת האבטחה, תוכלו לפרסם אותן באתר Stack Overflow ולהשתמש בתגים "android-security" ו-"TrustManager". להבהרה לגבי השלבים שיש לבצע עד לפתרון הבעיה, תוכלו לפנות לצוות התמיכה במפתחים.