網路安全性設定

此文件內容

新增安全性設定檔
自訂信任的 CA
僅偵錯 CA
退出明碼流量
關聯憑證
設定繼承行為
設定檔案格式

Android N 包括網路安全性設定功能，讓應用程式在安全的宣告式設定檔中即可自訂網路安全性設定，而不必修改應用程式的程式碼。這些設定可以針對特定網域以及針對特定應用程式來設定。此功能的主要能力如下：

自訂信任錨點：為應用程式的安全連線自訂信任的憑證授權單位 (CA)。例如，信任特定的自我簽署憑證，或限制應用程式信任的一組公用 CA。
僅偵錯覆寫：在應用程式中安全地為安全連線進行偵錯，而不會增加已安裝應用程式者的風險。
退出明碼流量：保護應用程式不受意外使用明碼流量危害。
憑證關聯：限制應用程式的安全連線只用特定憑證。

新增安全性設定檔

網路安全性設定功能會使用 XML 檔案，而您為應用程式指定的設定就在此。您必須在應用程式的宣示說明包括一個指向這個檔案的項目。以下節錄自宣示說明的程式碼，示範如何建立此項目：

<?xml version="1.0" encoding="utf-8"?>
...
<app ...>
    <meta-data android:name="android.security.net.config"
               android:resource="@xml/network_security_config" />
    ...
</app>

自訂信任的 CA

應用程式會想要信任自訂的一組 CA，而不是平台預設的 CA。最常見的原因如下：

使用 (由內部公司 CA 等所自我簽署、發行的) 自訂憑證授權單位連線至主機。
限制 CA 只用您信任的那組 CA，而不是所有人預先安裝的 CA。
信任系統中所未包括的其他 CA。

根據預設，來自所有應用程式的安全連線全都信任預先安裝的系統 CA，而目標為 API 層級 23 (Android M) 和以下版本的應用程式預設也會信任使用者新增的 CA 存放區。應用程式可以使用 base-config (針對整個應用程式自訂) 或 domain-config (針對每個網域自訂)，自訂自己的連線。

設定自訂 CA

假設您想要連線的主機使用自我簽署的 SSL 憑證，或要連線的主機使用 SSL 憑證是由您信任的非公用 CA 所發行，例如您公司的內部 CA。

res/xml/network_security_config.xml：

<?xml version="1.0" encoding="utf-8"?>
<network-security-config>
    <domain-config>
        <domain includeSubdomains="true">example.com</domain>
        <trust-anchors>
            <certificates src="@raw/my_ca"/>
        </trust-anchors>
    </domain-config>
</network-security-config>

將 PEM 或 DER 格式的自我簽署或非公用 CA 憑證新增至 res/raw/my_ca。

限制信任的 CA 組

應用程式若不想要信任系統所信任的所有 CA，可以自行指定一組範圍較小的信任 CA。如此可以保護應用程式，不受任何其他 CA 所發行的詐騙憑證危害。

限制信任的 CA 組，其設定類似於信任自訂 CA (針對特定網域)，只不過多個 CA 都是資源所提供。

res/xml/network_security_config.xml：

<?xml version="1.0" encoding="utf-8"?>
<network-security-config>
    <domain-config>
        <domain includeSubdomains="true">secure.example.com</domain>
        <domain includeSubdomains="true">cdn.example.com</domain>
        <trust-anchors>
            <certificates src="@raw/trusted_roots"/>
        </trust-anchors>
    </domain-config>
</network-security-config>

將 PEM 或 DER 格式的信任 CA 新增至 res/raw/trusted_roots。請注意，如果使用 PEM 格式，該檔案「只」能包含 PEM 資料，不能有額外的文字。您還可以提供多個 <certificates> 元素，而不只一個。

信任其他 CA

應用程式會想要信任不受系統信任的其他 CA，這是因為系統尚未包括該 CA，或 CA 不符合納入 Android 系統的需求。應用程式可以為設定指定多個憑證來源，來完成此動作。

res/xml/network_security_config.xml：

<?xml version="1.0" encoding="utf-8"?>
<network-security-config>
    <base-config>
        <trust-anchors>
            <certificates src="@raw/extracas"/>
            <certificates src="system"/>
        </trust-anchors>
    </base-config>
</network-security-config>

設定 CA 進行偵錯

對透過 HTTPS 連線的應用程式進行偵錯時，您想要連線的本機開發伺服器並沒有生產伺服器的 SSL 憑證。若以不修改應用程式的程式碼為前提，為了支援此動作，您可以使用 debug-overrides 來指定僅偵錯 CA，「只」有在 android:debuggable 為 true 時才予以信任。一般來說，IDE 和建置工具會為非發行版本自動設定此旗標。

因為應用程式商店採取的安全措施是，不接受標示為可偵錯的應用程式，所以這種方式會比條件式程式碼安全。

res/xml/network_security_config.xml：

<?xml version="1.0" encoding="utf-8"?>
<network-security-config>
    <debug-overrides>
        <trust-anchors>
            <certificates src="@raw/debug_cas"/>
        </trust-anchors>
    </debug-overrides>
</network-security-config>

退出明碼流量

打算只使用安全連線連線至目的地的應用程式，可以針對那些目的地退出支援明碼 (使用未加密的 HTTP 通訊協定，而非 HTTPS)。此選項有助於避免應用程式由於外部來源 (例如，後端伺服器) 提供的 URL 中發生變更，而造成意外回復。如需更多詳細資料，請參閱 NetworkSecurityPolicy.isCleartextTrafficPermitted()。

例如，應用程式想要確保的所有連線一律要透過 HTTPS 完成，以保護敏感流量不受惡意網路危害。

res/xml/network_security_config.xml：

<?xml version="1.0" encoding="utf-8"?>
<network-security-config>
    <domain-config usesCleartextTraffic="false">
        <domain includeSubdomains="true">secure.example.com</domain>
    </domain-config>
</network-security-config>

關聯憑證

應用程式一般會信任所有預先安裝的 CA。若這類的任何 CA 意在發行詐騙憑證，應用程式會有遭受 MiTM 攻擊的風險。有些應用程式選擇透過限制所信任的 CA 組或關聯憑證，來限制可接受的憑證組。

憑證關聯的方法是，透過公用金鑰的雜湊 (X.509 憑證的 SubjectPublicKeyInfo) 來提供一組憑證。只有當憑證鏈至少包含一個關聯的公用金鑰時，才是有效的憑證鏈。

請注意，使用憑證關聯時，您務必要包括備份金鑰，這樣萬一強制您切換到新的金鑰或變更 CA (關聯到 CA 憑證或該 CA 的中繼者) 時，您的應用程式連線才不會受到影響。否則，您必須推出應用程式更新，才能還原連線。

此外，可為關聯設定到期時間，只要該關聯經過多久都未執行，即為到期。這有助於避免未經更新的應用程式發生連線問題。然而，針對關聯設定到期時間，會造成略過關聯。

res/xml/network_security_config.xml：

<?xml version="1.0" encoding="utf-8"?>
<network-security-config>
    <domain-config>
        <domain includeSubdomains="true">example.com</domain>
        <pin-set expiration="2018-01-01">
            <pin digest="SHA-256">7HIpactkIAq2Y49orFOOQKurWxmmSFZhBCoQYcRhJ3Y=</pin>
            <!-- backup pin -->
            <pin digest="SHA-256">fwza0LRMXouZHRC8Ei+4PyuldPDcf3UKgO/04cDM1oE=</pin>
    </domain-config>
</network-security-config>

設定繼承行為

繼承的值都未設定在特定設定中。此行為允許有更複雜的設定，同時保持設定檔讓人看得懂。

如果值未設定在特定項目中時，就會使用下一個更一般項目的值。如為巢狀結構，就會從上層 domain-config 取得未在 domain-config 中設定的值，或非巢狀時，則會從 base-config 取得值。未在 base-config 中設定的值會使用平台的預設值。

例如，假設所有連至 example.com 子網域的連線都必須使用一組自訂 CA。此外，允許明碼流量送往這些網域，但連線到 secure.example.com 時「除外」。在 example.com 的設定內以巢狀方式排列 secure.example.com 的設定，就不需要重複 trust-anchors。

res/xml/network_security_config.xml：

<?xml version="1.0" encoding="utf-8"?>
<network-security-config>
    <domain-config>
        <domain includeSubdomains="true">example.com</domain>
        <trust-anchors>
            <certificates src="@raw/my_ca"/>
        </trust-anchors>
        <domain-config cleartextTrafficPermitted="false">
            <domain includeSubdomains="true">secure.example.com</domain>
        </domain-config>
    </domain-config>
</network-security-config>

設定檔案格式

網路安全性設定功能會使用 XML 檔案格式。下列程式碼範例顯示檔案的整體結構：

<?xml version="1.0" encoding="utf-8"?>
<network-security-config>
    <base-config>
        <trust-anchors>
            <certificates src="..."/>
            ...
        </trust-anchors>
    </base-config>

    <domain-config>
        <domain>android.com</domain>
        ...
        <trust-anchors>
            <certificates src="..."/>
            ...
        </trust-anchors>
        <pin-set>
            <pin digest="...">...</pin>
            ...
        </pin-set>
    </domain-config>
    ...
    <debug-overrides>
        <trust-anchors>
            <certificates src="..."/>
            ...
        </trust-anchors>
    </debug-overrides>
</network-security-config>

下列各區段描述檔案格式的語法與其他詳細資料。

<network-security-config>

可以包含：: 0 或 1 個 <base-config>
任何數目的 <domain-config>
0 或 1 個 <debug-overrides>

<base-config>

語法：

<base-config usesCleartextTraffic=["true" | "false"]>
    ...
</base-config>

可以包含：

<trust-anchors>

描述：

連線到 domain-config 所未涵蓋的目的地時使用的預設設定。

任何未設定的值都會使用平台預設值。目標為 API 層級 24 和更新版本的應用程式預設設定：

<base-config usesCleartextTraffic="true">
    <trust-anchors>
        <certificates src="system" />
    </trust-anchors>
</base-config>

目標為 API 層級 23 和以下版本的應用程式預設設定：

<base-config usesCleartextTraffic="true">
    <trust-anchors>
        <certificates src="system" />
        <certificates src="user" />
    </trust-anchors>
</base-config>

<domain-config>

語法：

<domain-config usesCleartextTraffic=["true" | "false"]>
    ...
</domain-config>

可以包含：

1 或更多個 <domain>
0 或 1 個 <trust-anchors>
0 或 1 個 <pin-set>
任何數目的巢狀 <domain-config>

描述

依照 domain 元素所定義，連線至特定目的地時使用的設定。

請注意，如有多個 domain-config 元素涵蓋同一個目的地，則會使用含有最明確 (最長) 比對網域規則的設定。

<domain>

語法：

<domain includeSubdomains=["true" | "false"]>example.com</domain>

屬性：

includeSubdomains: 如為 "true"，表示此網域規則會比對網域和所有子網域，包括子網域的子網域在內，反之此規則只會套用到完全相符者。

描述：

<debug-overrides>

語法：

<debug-overrides>
    ...
</debug-overrides>

可以包含：

0 或 1 個 <trust-anchors>

描述：

當 android:debuggable 為 "true" (一般是在非發行版本由 IDE 與建置工具產生的情況下) 時所要套用的覆寫。 debug-overrides 中指定的信任錨點會新增至所有其他連線，而當伺服器的憑證鏈使用其中一個僅偵錯信任錨點時，即不會執行憑證關聯。如果 android:debuggable 為 "false"，就會完全略過這個區段。

<trust-anchors>

語法：

<trust-anchors>
...
</trust-anchors>

可以包含：

任何數目的 <certificates>

描述：

可供安全連線使用的信任錨點組。

<certificates>

語法：

<certificates src=["system" | "user" | "raw resource"]
              overridePins=["true" | "false"] />

描述：

可供 trust-anchors 元素使用的 X.509 憑證組。

屬性：

src

CA 憑證的來源，可以是其中一個原始資源識別碼，其指向含有 X.509 憑證的檔案。

憑證必須以 DER 或 PEM 格式編碼。如為 PEM 憑證，檔案中「不可」包含非 PEM 的額外資料，例如註解。
"system" 代表預先安裝的系統 CA 憑證
"user" 代表使用者新增的 CA 憑證

overridePins

指定來自此來源的 CA 是否要略過憑證關聯。如為 "true"，憑證鏈的鏈結若經過此來源的其中一個 CA，就不會執行關聯。這對偵錯 CA 會很實用，或支援讓使用者 MiTM 應用程式的安全流量。

預設為 "false"，除非您在 debug-overrides 元素中指定，而那種情況的預設為 "true"。

<pin-set>

語法：

<pin-set expiration="date">
...
</pin-set>

可以包含：

任何數目的 <pin>

描述：

一組公用金鑰關聯。信任鏈中的其中一個公用金鑰必須要在這組關聯中，才是可信任的安全連線。如需關聯的格式，請參閱 <pin>。

屬性：

expiration: 到期之後就會停用關聯的日期，格式為 yyyy-MM-dd。如果未設定屬性，關聯就不會到期。
到期有助於避免因使用者停用應用程式更新，而無法取得關聯組更新的應用程式發生連線問題。

<pin>

語法：

<pin digest=["SHA-256"]>base64 encoded digest of X.509
    SubjectPublicKeyInfo (SPKI)</pin>

屬性：

digest: 用來產生關聯的摘要演算法。目前僅支援 "SHA-256"。

最常造訪的網頁

最近瀏覽的網頁

「」的搜尋結果

此文件內容

新增安全性設定檔

自訂信任的 CA

設定自訂 CA

限制信任的 CA 組

信任其他 CA

設定 CA 進行偵錯

退出明碼流量

關聯憑證

設定繼承行為

設定檔案格式

<network-security-config>

<base-config>

<domain-config>

<domain>

<debug-overrides>

<trust-anchors>

<certificates>

<pin-set>

<pin>