Everyone

Olaf Titz

Eclair

The standard Android applications for mail, calendar, contacts etc. can synchronize against SSL-protected servers but have no option to check their certificate. Basically, it is possible to either check if the certificate is issued by one of the standard (before Android 4.0, not user-editable) CAs, or not check them at all. This is not enough to reliably assert the identity of the server, which presents the risk of giving sensitive information (account passwords) to the wrong server. This problem is especially important when the server is on a semi-permament connection and found via dynamic DNS, uses self-signed or private-CA certificates, or when using public WiFi hotspots (which are rather trivial to fake and therefore are a regular MitM-attack vector).

This app checks in configurable intervals if a given HTTPS URL is reachable and the server identifies itself with the right certificate. It consists of a home screen widget displaying the status with colored "signal lights":

* green, if the connection is okay

* yellow, when a check is underway

* red, when the server is unreachable

* double red, when the server gives errors or fails certificate checking

* small white, when checking is not needed

When checking and when an error happens, the global synchronization setting is turned off. This way you should be reasonably safe that the synchronization does not try to connect to a server whose identity is not verified, given it is the same server as the one you check.

This is an open source (GPL) app. Source and further documentation is available via my Web site.

Permissions needed:

INTERNET - connect to your server (nowhere else)

ACCESS_NETWORK_STATE - determine your connection (WLAN, mobile...) to find out if checking is needed

READ_SYNC_SETTINGS, WRITE_SYNC_SETTINGS - turn sync off on checking or error

RECEIVE_BOOT_COMPLETED - automatic start (if possible, depending on Android version)

READ_EXTERNAL_STORAGE - read certificates from memory or SD card

การประยุกต์ใช้ Android มาตรฐานสำหรับจดหมาย, ปฏิทิน, รายชื่อผู้ติดต่อ ฯลฯ สามารถประสานกับเซิร์ฟเวอร์ SSL ที่มีการป้องกัน แต่มีตัวเลือกในการตรวจสอบใบรับรองของพวกเขาไม่ โดยทั่วไปก็เป็นไปได้ทั้งตรวจสอบว่าใบรับรองที่ออกโดยหนึ่งในมาตรฐาน (ก่อน Android 4.0 ไม่ผู้ใช้สามารถแก้ไขได้) CAs หรือไม่ตรวจสอบพวกเขาทั้งหมด นี้ไม่เพียงพอที่จะเชื่อถือได้ยืนยันตัวตนของเซิร์ฟเวอร์ที่นำเสนอความเสี่ยงของการให้ข้อมูลที่สำคัญ (รหัสผ่านของบัญชี) ไปยังเซิร์ฟเวอร์ที่ไม่ถูกต้อง ปัญหานี้เป็นสิ่งสำคัญโดยเฉพาะอย่างยิ่งเมื่อเซิร์ฟเวอร์ที่อยู่ในการเชื่อมต่อกึ่ง permament และพบผ่านทาง DNS แบบไดนามิกใช้ลงนามด้วยตนเองหรือใบรับรองเอกชน CA หรือเมื่อใช้ WiFi ฮอตสปอตสาธารณะ (ซึ่งค่อนข้างเล็กน้อยเพื่อปลอมและดังนั้นจึงเป็นปกติต้าน -attack เวกเตอร์)

การตรวจสอบการตรวจสอบนี้ในช่วงเวลาที่กำหนดหาก URL HTTPS ให้สามารถเข้าถึงได้และเซิร์ฟเวอร์ที่ระบุตัวเองที่มีใบรับรองที่ถูกต้อง มันประกอบไปด้วยเครื่องมือหน้าจอแสดงสถานะที่มีสี "สัญญาณไฟ":

* สีเขียวหากการเชื่อมต่อจะถูก

* สีเหลืองเมื่อมีการตรวจสอบเป็นชิ้น

* สีแดงเมื่อเซิร์ฟเวอร์ไม่สามารถเข้าถึง

* สีแดงคู่เมื่อเซิร์ฟเวอร์ให้ข้อผิดพลาดหรือล้มเหลวในการตรวจสอบใบรับรอง

* สีขาวขนาดเล็กเมื่อตรวจสอบไม่จำเป็นต้อง

เมื่อตรวจสอบและเมื่อเกิดขึ้นข้อผิดพลาดการตั้งค่าการประสานทั่วโลกถูกปิด วิธีนี้คุณควรจะมีเหตุผลที่ปลอดภัยที่ตรงกันไม่ได้พยายามที่จะเชื่อมต่อกับเซิร์ฟเวอร์ที่มีตัวตนไม่ได้รับการตรวจสอบให้เป็นเซิร์ฟเวอร์เดียวกับที่คุณตรวจสอบ

นี้เป็นโอเพนซอร์ส (GPL) app แหล่งที่มาและเอกสารเพิ่มเติมสามารถใช้ได้ผ่านทางเว็บไซต์ของฉัน

สิทธิ์ที่จำเป็น:

อินเทอร์เน็ต - เชื่อมต่อกับเซิร์ฟเวอร์ของคุณ (ที่ไหน)

ACCESS_NETWORK_STATE - ตรวจสอบการเชื่อมต่อของคุณ (WLAN, มือถือ ... ) เพื่อดูว่าการตรวจสอบเป็นสิ่งจำเป็น

READ_SYNC_SETTINGS, WRITE_SYNC_SETTINGS - เปิดซิงค์ออกในการตรวจสอบหรือข้อผิดพลาด

RECEIVE_BOOT_COMPLETED - เริ่มต้นโดยอัตโนมัติ (ถ้าเป็นไปได้ขึ้นอยู่กับรุ่น Android)

READ_EXTERNAL_STORAG​​E - อ่านใบรับรองจากหน่วยความจำหรือการ์ด SD

ตรวจสอบว่าเซิร์ฟเวอร์ของคุณสามารถเข้าถึงได้และนำเสนอใบรับรอง SSL ที่ถูกต้อง

Home Network SSL Checker

เวอร์ชั่นล่าสุดของHome Network SSL Checker