在服务器证书中使用 IP 地址作为通用名称在 Android 中不起作用？

Question

我一直在调查这个问题，发现了一些有趣的东西。 如果我使用一个服务器密钥库，它将具有公用名称的服务器证书存储为 real domain 来建立与服务器的连接，它工作正常，但是如果我使用 ip address 代替通用名称不起作用，但只是在 android 设备自制应用程序中（不是桌面浏览器或 android 设备中的浏览器应用程序）。注意我使用 openssl 创建这两个证书/密钥库。

事实证明这个异常是主机名未验证

但奇怪的是桌面或安卓设备的浏览器都很好

经过调查，我发现实际上我们可以构建自己的主机名验证器，它可以为主机名添加异常，但是android的默认验证器是如何工作的？它必须是一些代码跳过ip地址作为通用名称并返回false。

我查看了okhttp的源代码发现这行代码抛出了异常

但我找不到自定义主机名验证器的代码。

谁能给我一些提示？

谢谢~

更新:: 在我在 android studio 中调试后，在运行时它实际上是 OkHostnameVerifier

它检查主机名是否是IP地址，如果是则检查证书中的所有主题备用名称，如果找到匹配则返回true，反之亦然。

private boolean verifyIpAddress(String ipAddress, X509Certificate certificate) {
    for (String altName : getSubjectAltNames(certificate, ALT_IPA_NAME)) {
      if (ipAddress.equalsIgnoreCase(altName)) {
        return true;
      }
    }
    return false;
  }

Answer 1

如果我使用存储服务器证书的服务器密钥库，其公用名是真实域，用于与服务器建立连接，它可以正常工作，但是如果我使用 ip 地址代替公用名，它就不起作用，

它应该是这样工作的。 IP 地址必须作为 IP 类型的主题替代名称给出。不幸的是，不同的浏览器以不同的方式处理这个问题，而且通常与标准背道而驰。有些接受通用名称的 IP，有些则不接受。有些人希望地址作为主题替代部分中的 DNS 条目而不是 IP 条目。因此，为了安全起见，您应该使用 IP 和 DNS 类型的主题备用名称。

我们可以构建自己的主机名验证器，它可以为主机名添加异常

不要这样做。如果您忽略主机名，则验证将减少为仅检查信任链，这意味着任何由受信任的 CA 签名的证书都可用于对任何其他主机进行透明的中间人攻击。即使您仅禁用 IP 地址的名称检查，一旦用户通过 IP 访问站点，仍然可以使用任何有效证书。