Thông tin này dành cho các nhà phát triển có (các) ứng dụng sử dụng cách triển khai không an toàn của giao diện Hostname Verifier, trong đó chấp nhận tất cả các tên máy chủ khi thiết lập kết nối HTTPS đến một máy chủ từ xa với API setDefaultHostnameVerifier. Cách triển khai này khiến cho ứng dụng của bạn dễ bị kẻ trung gian tấn công. Kẻ tấn công có thể đọc dữ liệu được truyền (chẳng hạn như bằng chứng xác thực đăng nhập) và thậm chí thay đổi dữ liệu được truyền trên kết nối HTTPS.
Chuyện gì sẽ xảy ra
Kể từ ngày 1 tháng 3 năm 2017, Google Play đã chặn xuất bản mọi ứng dụng hoặc bản cập nhật mới sử dụng cách triển khai không an toàn của Hostname Verifier. Vui lòng tham khảo thông báo trên Play Console của bạn.Sau thời hạn hiển thị trong Play Console, chúng tôi có thể xóa mọi ứng dụng có lỗ hổng bảo mật chưa được khắc phục khỏi Google Play.
Hành động cần thiết
- Đăng nhập vào Play Console và chuyển đến phần Cảnh báo để xem những ứng dụng bị ảnh hưởng và thời hạn giải quyết những vấn đề này.
- Cập nhật các ứng dụng bị ảnh hưởng và khắc phục lỗ hổng.
- Gửi phiên bản cập nhật của các ứng dụng bị ảnh hưởng.
Sau khi bạn gửi lại, chúng tôi sẽ xem xét lại ứng dụng của bạn. Quá trình này có thể mất vài giờ. Nếu ứng dụng vượt qua quy trình xem xét và được xuất bản thành công thì bạn không cần thực hiện thêm hành động nào. Nếu ứng dụng không vượt qua được quy trình xem xét thì phiên bản ứng dụng mới sẽ không được xuất bản và bạn sẽ nhận được thông báo qua email.
Thông tin chi tiết bổ sung
Để xử lý đúng cách việc xác minh tên máy chủ, hãy thay đổi phương thức xác minh trong giao diện Hostname Verifier tùy chỉnh của bạn để trả lại giá trị false bất cứ khi nào tên máy chủ không giống như dự kiến.
Ứng dụng cũng phải tuân thủ Thỏa thuận phân phối dành cho nhà phát triển và Chính sách nội dung.
Chúng tôi sẵn sàng trợ giúp
Nếu có câu hỏi kỹ thuật về lỗ hổng bảo mật, bạn có thể đăng lên Stack Overflow và sử dụng thẻ “android-security”. Để biết rõ các bước cần thực hiện nhằm giải quyết vấn đề này, bạn có thể liên hệ với nhóm hỗ trợ nhà phát triển của chúng tôi.