基于iOS，Android的服务器证书失效检测

1.前言

在目前的iOS，Android手机上，当手机应用进行SSL通信时，手机端默认是不会进行服务器证书是否失效的监测。

在iOS上，系统是会定期获取所访问服务器的证书信息然后出存在本地。

在Android端，系统是不会进行任何服务器证书的监测。

2.影响

如果应用在与服务器进行SSL通信时不进行任何的证书有效性检测会造成用户信息泄漏等安全问题。

3.解决方法

服务器证书有效性检测有两种方法，CRL检测和OCSP检测。

OCSP检测主要的好处是时效性更有效率。本文主要从OCSP角度介绍实现方法。

3.1 iOS端

在iOS端，对应不同的通信方法有不同的服务器有效性检测方法

WKWebView，NSURLSession，NSURLConnection等可以通过通用的方法解决。

核心代码如下：

- (void)URLSession:(NSURLSession *)session didReceiveChallenge:(NSURLAuthenticationChallenge *)challenge completionHandler:(void (^)(NSURLSessionAuthChallengeDisposition, NSURLCredential * _Nullable))completionHandler
{
    if ([challenge.protectionSpace.authenticationMethod isEqualToString:NSURLAuthenticationMethodServerTrust]) {
        if ([[[UtilCrlOcsp alloc] init] isServerTrustProceedOrUnspecifiedWithAuthenticationChallenge:challenge]) {
            completionHandler(NSURLSessionAuthChallengeUseCredential, [NSURLCredential credentialForTrust:challenge.protectionSpace.serverTrust]);
        } else {
            completionHandler(NSURLSessionAuthChallengeCancelAuthenticationChallenge, nil);
        }
    }
}

- (void)URLSession:(NSURLSession *)session task:(NSURLSessionTask *)task didCompleteWithError:(NSError *)error
{
    [self updateTextViewMessage:error.description];
}

- (void)URLSession:(NSURLSession *)session dataTask:(NSURLSessionDataTask *)dataTask didReceiveResponse:(NSURLResponse *)response completionHandler:(void (^)(NSURLSessionResponseDisposition))completionHandler
{
    [self updateTextViewMessage:response.description];
}

- (void)connection:(NSURLConnection *)connection willSendRequestForAuthenticationChallenge:(NSURLAuthenticationChallenge *)challenge
{
    if ([challenge.protectionSpace.authenticationMethod isEqualToString:NSURLAuthenticationMethodServerTrust]) {
        if ([[[UtilCrlOcsp alloc] init] isServerTrustProceedOrUnspecifiedWithAuthenticationChallenge:challenge]) {
            [challenge.sender useCredential:[NSURLCredential credentialForTrust:challenge.protectionSpace.serverTrust] forAuthenticationChallenge:challenge];
        } else {
            [challenge.sender cancelAuthenticationChallenge:challenge];
        }
    }
}

而对于WebView，CFNetwork等的通信方法需要实现一些其它的方法。

具体可以参考苹果官网的介绍。

3.2 Android端的实现

在Android端，利用CRL相关的API可以很快的检测证书有效性。

但是对于OCSP的实现却没有任何相关函数支持，所以需要从零进行开发。

开发时可以参考bouncycastle的相关内容进行开发，本文主要介绍OCSP的实现过程

            if (true || basicResponse.isSignatureValid(new JcaContentVerifierProviderBuilder().setProvider("BC").build(rootCert.getPublicKey()))) {
                SingleResp[] responses = basicResponse.getResponses();

                byte[] reqNonce = getNonce(request.getExtension(OCSPObjectIdentifiers.id_pkix_ocsp_nonce));
                byte[] resNonce = getNonce(basicResponse.getExtension(OCSPObjectIdentifiers.id_pkix_ocsp_nonce));

                // validate the nonce if it is present
                if (reqNonce == null || resNonce == null || Arrays.equals(reqNonce, resNonce)) {

                    for (int i = 0; i != responses.length;) {
                        putLog("OCSP certificate number " + responses[i].getCertID().getSerialNumber());
                        if (responses[i].getCertStatus() == CertificateStatus.GOOD) {
                            putLog("---OCSP status GOOD");
                            return    true;
                        }
                        else if (responses[i].getCertStatus() instanceof RevokedStatus) {
                            putLog("---OCSP status Revoked");
                            return    false;
                        }
                        else {
                            putLog("---OCSP status " + responses[i].getCertStatus());
                            return    false;
                        }
                    }
                }

4.总结

本文只是简单的介绍了基于OCSP的证书有效性检测，具体到真正的项目中该如何应用还需要coder自己的思考。