Як змусити charles proxy працювати з Android 7 нуга?

Android 7 внесла деякі зміни в обробку сертифікатів ( http://android-developers.blogspot.com/2016/07/changes-to-trusted-certificate.html ), і я якось більше не можу змусити проксі-сервера Чарльза працювати.

My network_security_config.xml:

<?xml version="1.0" encoding="utf-8"?>
<network-security-config>
    <base-config>
        <trust-anchors>
            <certificates src="system" />
        </trust-anchors>
    </base-config>
    <debug-overrides>
        <trust-anchors>
            <certificates src="user" />
        </trust-anchors>
    </debug-overrides>
</network-security-config>

Я працюю в режимі налагодження. Але незважаючи ні на що, я отримую javax.net.ssl.SSLHandshakeException: java.security.cert.CertPathValidatorException: Trust anchor for certification path not found..

Потрібно сказати, що я встановив pfxсертифікат від Settings -> Security -> Install from storage. Сертифікат відображається в, User Credentialsале не в Trusted credentials -> User. На моєму льодяниковому пристрої сертифікати вказані там.

Я використовую okhttp3 як бібліотеку HTTP.

Будь-яка ідея, що я роблю неправильно?

Виходячи з теми усунення несправностей коментарів до ОП, відповідь полягає в тому, щоб встановити лише сертифікат CA проксі як довірений, а не його cert + приватний ключ.

Проблему викликали два фактори:

1. Встановлення не лише сертифікату CA проксі-сервера MiTM, але і його приватного ключа (таким чином, додатки VPN на пристрої можуть дешифрувати / мережевий трафік MiTM з інших додатків). Вам не потрібен приватний ключ проксі-сервера MiTM на пристрої.

2. Android Nougat змінює поведінку Settings -> Security -> Install from storageпотоку для файлів, які містять приватний ключ, крім cert (s). Ця зміна поведінки розкрила вищезгадане питання.

Перед Nougat, Settings -> Security -> Install from storageпотік для файлів, що містять приватний ключ, крім certs, помилково встановив certs як довірену для аутентифікації сервера (наприклад, HTTPS, TLS, завдяки чому ваш MiTM є успішним), крім того, що він правильно встановлений як клієнтські серти, що використовуються для аутентифікація цього пристрою Android на серверах. У Nougat помилка була виправлена, і ці сертифікати більше не встановлюються як надійні для автентифікації сервера. Це запобігає впливові облікові дані клієнтів аутентифікації (послаблюють) безпеку з'єднань із серверами. У вашому сценарії це не дозволяє вашому MiTM досягти успіху.

Що ускладнює питання, це те, що Settings -> Security -> Install from storageвін не дає явного способу для користувача визначати, чи встановлює він обліковий запис автентифікації клієнта (приватний ключ + ланцюг cert) або довіру довіри автентифікації сервера (просто сертифікат CA - не потрібен приватний ключ) . Як результат, Settings -> Security -> Install from storageпотік здогадується, чи стосується він клієнт / користувальницький обліковий запис автентифікації або сервер автентифікації довіри, припускаючи, що якщо вказано приватний ключ, він повинен бути обліковим записом автентифікації клієнт / користувач. У вашому випадку помилково припускається, що ви встановлюєте обліковий запис автентифікації клієнта / користувача, а не довіру довіри до автентифікації сервера.

PS Що стосується вашої налаштування мережевої безпеки, ви, ймовірно, повинні налаштувати додаток так само, щоб довіряти «системним» якорям довіри в режимі налагодження (розділ відміни помилок). В іншому випадку налагодження програми не працюватиме, якщо з'єднання не буде MiTM'd проксі-сервером, чий сертифікат CA встановлений як надійний на пристрої Android.

Рішення не використовувати .p12 , просто перейдіть за допомогою Chrome (з налаштованим проксі на wifi) на http://charlesproxy.com/getssl та встановіть завантажений .pem файл .

У мене була точно така ж проблема на моєму Nexus 5X під управлінням Android 7.0. Раніше було експортовано .p12 з Charles 3.11.5 (довідка-> SSL Proxying-> Експорт сертифіката Charles Root та приватний ключ). Коли я намагався встановити .p12 з телефону (Налаштування-> Безпека-> Встановити зі сховища), він відображається лише у розділі "Вхідні дані користувачів" і ніколи в "Довірених облікових даних", і звичайно SSL з проксі-сервером Чарльза не працював.

Загальний "як" для Android 7.0 виглядатиме так:

1. Налаштування проксі-сервера WiFi + (як цього вимагає Чарльз). Підключіть його.
2. На пристрої перейдіть за допомогою Chrome до http://charlesproxy.com/getssl , прийміть запит на завантаження .pem, потім натисніть "відкрити", він запустить додаток "Установник сертифікатів". Використовуйте його для встановлення сертифіката як "VPN та програми".
3. Помістіть атрибут android:networkSecurityConfig="@xml/network_security_config"до <application>в Manifest.xml
4. Створіть res / xml / network_security_config.xml із вмістом з першого повідомлення (це абсолютно правильно).
5. Запустіть Чарльза та додаток та отримайте задоволення.

PS Перевірте дату / час на пристрої. Це повинно бути правильним.

Я перебуваю на Android 7.1.1, ось як налаштувати на своєму пристрої (OnePlus One) - без зміни маніфесту (я орієнтувався на API 21 для свого додатка):

У Charles Proxy:

1. Help > SSL Proxying > Install Charles Root Certificate on a Mobile Device or Remote Browser. Цей крок дає вам IP проксі-сервера та номер порту, а також посилання на те, куди слід завантажувати SSL-сервер проксі-сервера.

На своєму телефоні:

2. Wifi Settings > Modify Network > Advanced Options. Установка проксі для Manualі введіть номер IP і порт, отриманий від Charles в Proxy hostnameі Proxy portвідповідно.

3. (ДОДАТКОВО) Ви можете або не можете отримати доступ до посилання chls.pro/ssl, наданого раніше Чарльзом. На своєму пристрої мене завжди повідомляли, що у мене немає мережевого зв’язку. Я додав charlesproxy.com до Bypass proxy forполя.

4. У своєму браузері перейдіть за посиланням на кроці 3 та завантажте необхідний сертифікат (якщо він не працює на Chrome, завантажте браузер Dolphin). Ви можете назвати свій сертифікат будь-яким ім’ям.

Повернутися на Charles Proxy:

5. Вам слід отримати запит Allowабо на Denyваш телефон, щоб скористатися проксі-сервером, якщо ваші налаштування встановлені за замовчуванням, щоб запропонувати вам віддалене з'єднання.

Тепер ви можете використовувати Charles на Nougat 7.1.1.