Проблема android сертификат безопасности

Вот как я исправлена ​​ошибка ненадежный сертификат в Android

В течение последних нескольких дней у меня была удивительная проблема с моим Android телефон т.е. ошибка ненадежный сертификат! Я видел ненадежный ошибку сертификата на моем Android телефона во время просмотра веб-страниц. Я попытался просмотра различных веб-сайтах даже Facebook и Twitter, но до сих пор я видел ту же ошибку, которая была, говоря «Сертификат безопасности сайта не является доверенным!». Обычно эта ошибка возникает, когда сертификат безопасности веб-сайта является истекшим сроком действия, но это не представляется возможным с большинством доверенных сайтов, таких как Facebook и Twitter. Так, я думал, что это действительно что-то происходит только со мной и начал

В течение последних нескольких дней у меня была удивительная проблема с моим Android телефон т.е. ошибка ненадежный сертификат! Я видел ненадежный ошибку сертификата на моем Android телефона во время просмотра веб-страниц. Я попытался просмотра различных веб — сайтах даже Facebook и Twitter , но до сих пор я видел ту же ошибку , которая была с надписью «Сертификат безопасности сайта не является доверенным!».

Обычно эта ошибка возникает, когда сертификат безопасности веб-сайта является истекшим сроком действия, но это не представляется возможным с большинством доверенных сайтов, таких как Facebook и Twitter. Так, я думал, что это действительно что-то происходит только со мной и стали выяснять решение.

Это не единственная проблема. На самом деле, в то время я не смог войти Play Маркет , чтобы устанавливать приложения в моем устройстве, не может отправить электронную почту, и даже не в состоянии просматривать сервисы социальных сетей , как Facebook и Twitter. Таким образом, это было действительно стоит подумать вопрос для меня.

Много раз я думал, что это вирусная атака на мой телефон или его хакерских атак. Я думал , что кто — то пытается удаленно контролировать мой телефон и блокирует меня делать вещи на моем телефоне, и т.д. и т.п.

Но, когда я искал в Google об этой проблеме я обнаружил , что это не моя собственная проблема на самом деле многие люди также имеющие один и тот же вопрос и в разных операционных системах , таких как прошивкой , Android и т.д. И есть различные решения , доступные в Интернете , но ничего не работает для меня.

Но, вы будете удивлены, узнав, что с простейшей задачей я установил вне проблему в моем Android! Здесь я расскажу вам, как я установил ненадежного ошибку сертификата в моем Android телефона.

Как я исправлена ​​ошибка SSL или недействительных Security проблемы с сертификатами

Прежде чем рассказать вам, как я исправила эту проблему, позвольте мне сказать вам, как и при вводе этого Ошибка SSL мой Android телефон или в чем причина этой странной проблемы!

Причина Получение SSL ошибки на моем Android

Причина этой странной проблемой была неправильной даты или времени в моем Android телефона. Причина, кажется довольно странным, но это правда. Если дата и время вашего устройства не является правильным, вы можете столкнуться с этой странной проблемой.

Однажды, я изменил SIM-карту в моей Android телефон много раз и Автоматическая Дата и функция времени не была включена. Таким образом, в связи с изменением даты и времени в моем Android телефон я был начать с этой проблемы.

Так, простыми словами, если время и дата Вашего мобильного не правильно, вы можете столкнуться с этой проблемой.

Вот простое решение Invalid проблемы с сертификатами

Тем не менее, до сих пор вы знаете решение этой проблемы, как я уже раскрыл причину. Позвольте мне рассказать вам, как я исправил проблему:

Я случайно проверил, что моя дата и время неверно и исправить их с помощью настроек телефона Android. Для того, чтобы исправить ваши Android настройки даты и времени телефон, просто зайдите в Настройки> Дата и время , и здесь вы сможете настроить правильное время. Рекомендуется для вас , чтобы включить автоматическую даты и времени функции, поскольку она будет автоматически обновлять время и дата установки каждый раз , когда вы будете удалить батарею какой — либо причине.

ДАЛЬНЕЙШЕЕ ЧТЕНИЕ:

Это все! Этот метод помог мне и решена проблема ненадежного ошибки сертификата в моем Android телефона. Я надеюсь , что это будет работать для вас тоже. Дайте мне знать , работает ли это для нет.

Источник

Пользователи macOS и Android столкнулись с ошибками подключения к сайтам

Так, пользователи Mac получают сообщение об ошибке «Ваше соединение не защищено» с кодом ошибки NET :: ERR_CERT_DATE_INVALID. Проблема наблюдается в Google Chrome и в других веб-браузерах Chromium при попытке подключения к определенным сайтам.

Данная проблема связана с тем, что 30 сентября 2021 года истек срок действия корневого сертификата Let’s Encrypt. Let’s Encrypt — некоммерческая организация, которая с момента своего основания выпустила более 2 миллиардов сертификатов.

Сертификаты, выпущенные корневым сертификатом с истекшим сроком действия, перестали считаться доверенными. Let’s Encrypt пытается устранить проблемы с помощью нового корневого сертификата с перекрестной подписью, который действителен до 30 сентября 2024 года.

Let’s Encrypt опубликовал списки платформ, на которых могут возникнуть проблемы с подключением после 30 сентября 2021 года.

Проблемам совместимости подвержены старые версии macOS и iOS, старые дистрибутивы Linux и устаревшие мобильные устройства под управлением Android 2.3.6 или более ранних версий.

Проблемы наблюдается на следующих платформах:

• Blackberry до версии 10.3.3
• Android до версии 2.3.6
• Nintendo 3DS
• Windows XP до SP3
  • не обрабатываются подписанные сертификаты SHA-2
• Java 7 до версии 7u111
• Java 8 до версии 8u101
• Windows Live Mail (почтовый клиент 2012 года, а не веб-почта)
  • не обрабатываются сертификаты без CRL
• Игровая консоль PS3
• Игровая консоль PS4 с прошивкой старее 5.00

На следующих платформах проверка сертификатов Let’s Encrypt выполняться не будет:

• macOS до версии 10.12.1
• iOS до версии 10
• Mozilla Firefox до версии 50
• Ubuntu от версии 12.04 включительно до 16.04 Xenial
• Debian от версии “Squeeze” 6.0 до версии “Jessie” 8.0
• Java 8 от версии 8u101 включительно до версии 8u141
• Java 7 от версии 7u111 включительно до версии 7u151
• NSS от версии 3.11.9 включительно до версии 3.26
• Amazon FireOS (Silk Browser) (диапазон версий неизвестен)
• Cyanogen от версии 10 (версия, в которую добавлен ISRG Root X1, неизвестна)
• Jolla Sailfish OS от версии 1.1.2.16 (версия, в которую добавлен ISRG Root X1, неизвестна)
• Kindle от версии 3.4.1 (версия, в которую добавлен ISRG Root X1, неизвестна)
• Blackberry от версии 10.3.3 (неизвестная версия, в которую добавлен ISRG Root X1)
• Игровая консоль PS4 с прошивкой от версии 5.00 включительно (версия, в которую добавлен ISRG Root X1, неизвестна)

Согласно Let’s Encrypt, более новые версии iOS или macOS не затронуты данной проблемой, но, судя по отчетам, это не так.

Исследователь Скотт Хелмс (Scott Helmes) подтверждает, что он столкнулся с проблемами в iOS 11, 13 и 14, а также в нескольких версиях macOS, которые «лишь на несколько небольших выпусков отстают» от текущей.

В сети размещено много сообщений о проблемах в более новых версиях iOS и macOS, при попытке доступа к сайтам, обслуживающих просроченный сертификат Let’s Encrypt R3 Intermediate. Я лично видел ошибки в iOS 11, 13 и 14, а также в нескольких версиях macOS, отставших от текущих только на несколько второстепенных выпусков. На стороне клиента пока нет исправлений.

Unconfirmed: Cisco Umbrella Secure Gateway Web Proxy is currently reporting service issues that started

the same time as the intermediate expiry. Looking for confirmation the two events are related: https://t.co/dtQNd1KQsF

Хелмс создал тестовый сайт, который позволяет проверить затронуто ли ваше устройство данной проблемой.

Обходное решение

На данный момент неясно, могут ли пользователи что-нибудь сделать со своей стороны. Один из вариантов, который есть у пользователей — использовать браузер Firefox, который использует собственное хранилище сертификатов. Соединения, которые прерываются в браузере на Chromium, должны отлично работать в Firefox в той же системе.

А вы сталкивались с проблемами подключения к сайтам после 30 сентября 2021 года?

Источник

4 метода обхода верификации SSL-сертификатов в Android

Прошли те времена, когда мобильные приложения мужественно игнорировали все ошибки, связанные с SSL, и позволяли перехватывать и модифицировать трафик.

Автор: Cody Wass

Прошли те времена, когда мобильные приложения мужественно игнорировали все ошибки, связанные с SSL, и позволяли перехватывать и модифицировать трафик. Современные приложения, как минимум, проверяют цепочки сертификатов на валидность и принадлежность к достоверному центру сертификации. Мы, пентестеры, ставим перед собой задачу «убедить» приложение, что сертификат надежный с целью выполнения атаки типа «человек посередине» и последующего изменения трафика. В этой статье будут рассмотрены следующие техники обхода проверок SSL-сертификатов в Android:

• Добавление сертификатов в хранилище достоверных сертификатов.
• Перезапись упакованных сертификатов.
• Использование скрипта Frida для обхода проверок SSL-сертификатов.
• Изменение кода проверки сертификата.

Некоторые из вышеуказанных техник — простые, другие – более сложные в реализации. Мы рассмотрим каждый из этих методов без особого углубления в специфические детали.

Зачем нужна MITM-атака на SSL

Чтобы просматривать и изменять вызовы веб-службы, используемой мобильным приложением, нам понадобится промежуточный прокси сервер для перехвата, созданный при помощи утилит навроде BurpSuite или ZAP. При перехвате SSL-трафика SSL-соединение прерывается на стороне прокси-сервера. Сертификат, отсылаемый прокси-сервером, анализируется мобильным приложением, как если бы прокси был оконечной точкой веб-службы. По умолчанию самоподписанный сертификат, генерируемые утилитами наподобие Burp, не будет принадлежать проверенной достоверной цепочке. Если сертификат нельзя проверить на достоверность, большинство мобильных будут обрывать соединение вместо того, чтобы подключаться и работать в потенциально незащищенном канале. Техники, представленные ниже, предназначены для одной цели – убедить мобильное приложение, что сертификат, отправляемый прокси-сервером, является достоверным.

Техника 1 – Добавление сертификата в хранилище пользовательских сертификатов

Самый простой способ избежать SSL-ошибок – обзавестись валидным и надежным сертификатом. Эта задача решается относительно просто, если вы сможете установить достоверный сертификат на устройство. Если операционная система доверяет вашему центру сертификации, то будет доверять и сертификату, подписанному центром сертификации.

В Android есть два встроенных хранилища сертификатов, которые отслеживают, каким центрам сертификации доверяет операционная система: системное хранилище (хранит предустановленные сертификаты) и пользовательское хранилище (хранит сертификаты, добавленные пользователями).

Выдержка с сайта developer.android.com:

По умолчанию безопасные соединения (использующие протоколы TLS, HTTPS и им подобные) во всех приложениях доверяют предустановленным системным сертификатам. В Android 6.0 (API level 23) и более ранних версиях по умолчанию также считаются достоверными сертификаты, добавленные пользователями. Приложение может настраивать свои собственные соединения на уровне приложения (base-config) и на уровне домена (domain-config).

Сей факт означает, что, если мы имеем дело с приложением, которое работает в Android 6.0 и более ранних версиях, то можно просто добавить сертификат в пользовательское хранилище. Когда приложение пытается проверить достоверность цепочки для нашего сертификата, то обнаружит, что наш центр сертификации связан с достоверным хранилищем и, следовательно, будет доверять нашему сертификату. В более новых версиях приложение не будет доверять хранилищу пользовательских сертификатов. Чтобы решить эту проблему, нужно прописать такой уровень API и версию Android, чтобы приложение стало доверять пользовательским центрам сертификации. Мы будем редактировать атрибут «platformBuildVersionCode» элемента «manifest» в файле AndroidManifest.xml.

В коде выше в строке «platformBuildVersionCode=25» нужно поменять значение 25 на 23, а в строке platformBuildVersionName=»7.1.1″ значение 7.1.1 на 6.0.

После переупаковки приложения с обновленным файлом AndroidManifest.xml, доверие пользовательским центрам сертификации будет восстановлено.

Если требуется запуск на конкретной версии платформы, мы можем определить тэг trust-anchors в файле «/res/xml/network_security_config.xml». Например, следующий файл (https://developer.android.com/training/articles/security-config.html) определяет новый достоверный сертификат, который должен храниться по адресу /res/raw/my_ca.

Если в приложении будет проходить проверку только указанный сертификат, условия для успешного выполнения этой техники выполняются.

Техника 2 – Перезапись упакованного сертификата

Если после установки сертификата в пользовательское хранилище, изменении в настройках версии Android и успешном прохождении проверок при просмотре других ресурсов, защищенных протоколом SSL, все равно возникают ошибки, значит, разработчики внедрили дополнительные условия, которым должны удовлетворять достоверные центры сертификации. Если не забыли, в предыдущей технике внутри тэга trust-anchors добавлялся новый путь к сертификату. Подобный трюк может использоваться разработчиками для защиты приложений от перехвата SSL.

Если в приложении используется индивидуальная цепочка сертификатов, может сработать метод, связанный с перезаписью сертификата. Поскольку в некоторых случаях разработчики могут предусмотреть дополнительные методы для проверки достоверной цепочки, эта техника не гарантирует стопроцентного результата.

Рисунок 1: Перечень сертификатов, используемых приложением

Если открыть пакет приложения при помощи, например, APK Studio, то можно сразу увидеть перечень привязанных сертификатов. На картинке выше сертификаты находятся в папке «assets». Замена явно бросающегося в глаза сертификата UniversalRootCA позволит нам подсунуть приложению наш сертификат.

Техника 3 – Подключение к функциям через фреймворк Frida

Если установки собственного сертификата недостаточно для успешного перехвата SSL-трафика, скорее всего, в приложении используются техники навроде SSL pinning или дополнительная SSL-валидация. В этом случае нужно блокировать проверки через непосредственное подключение к соответствующим функциям. Ранее эта техника была доступна для реализации только на устройствах с правами суперпользователя. Однако на данный момент при помощи библиотеки Frida Gadget можно работать с приложением и получить доступ к полному функционалу фреймворка Frida без прав суперпользователя.

Если вы уже выполняли пентесты мобильных приложений, то, вероятно, знакомы с этим фреймворком. Описание всей функциональности Frida выходит за рамки этой статьи, но если говорить в общем, то этот фреймворк позволяет изменять логику работы приложения во время выполнения. Обычно Frida работает как отдельное приложение и требует прав суперпользователя на устройстве. Если у нас нет прав суперпользователя, мы можем инжектировать в пакет приложения динамическую библиотеку Frida Gadget, содержащую большую часть функционала фреймворка Frida. Эта библиотека загружается во время выполнения приложения и позволяет вносить изменения в код.
Чтобы загрузить Frida Gadget, нужно распаковать APK, вставить динамическую библиотеку, отредактировать smali-код так, чтобы динамическая библиотека вызывалась самой первой, а затем переупаковать и установить пакет. Весь этот процесс хорошо задокументирован Джоном Козиракисом (John Kozyrakis). Вначале лучше пройти все этапы вручную, чтобы лучше понять, как работает эта технология. Чтобы сэкономить время, существует утилита — Objection, которая автоматизирует весь вышеупомянутый процесс. Требуется лишь указание целевого пакета, над которым нужно выполнить манипуляции.

После завершения в нашей рабочей директории должен появиться файл «test_app.objection.apk». По умолчанию утилита objection добавляет постфикс «.objection» к имени пакета. Далее мы можем установить этот пакет так же, как и любой другой APK, при помощи команды adb install test_app.objection.apk. После того как измененный пакет установлен на целевом устройстве, во время запуска приложение должно встать на паузу на начальном экране. В этот момент мы можем подключиться к серверу Frida, который отслеживает наше устройство:

C:\>frida-ps -U
PID Name
—- ——
6383 Gadget

C:\>frida -U gadget
____
/ _ | Frida 10.3.14 — A world-class dynamic instrumentation framework
| (_| |
> _ | Commands:
/_/ |_| help -> Displays the help system
. . . . object? -> Display information about ‘object’
. . . . exit/quit -> Exit
. . . .
. . . . More info at http://www.frida.re/docs/home/

[Motorola Moto G (5) Plus::gadget]-> Java.available
true

Alternatively, Objection supports interaction with the listening Frida server by using the ‘explore’ command:

C:\>objection explore
___| |_ |_|___ ___| |_|_|___ ___
| . | . | | | -_| _| _| | . | |
|___|___|_| |___|___|_| |_|___|_|_|
|___|(object)inject(ion) v1.2.2

Runtime Mobile Exploration
by: @leonjza from @sensepost

[tab] for command suggestions
com.test.app on (motorola: 7.0) [usb] # android hooking search classes TrustManager
android.security.net.config.RootTrustManager
android.app.trust.ITrustManager$Stub$Proxy
android.app.trust.ITrustManager
android.security.net.config.NetworkSecurityTrustManager
android.security.net.config.RootTrustManagerFactorySpi
android.app.trust.TrustManager
android.app.trust.ITrustManager$Stub
com.android.org.conscrypt.TrustManagerImpl
com.android.org.conscrypt.TrustManagerImpl$ExtendedKeyUsagePKIXCertPathChecker
com.android.org.conscrypt.TrustManagerImpl$TrustAnchorComparator
com.android.org.conscrypt.TrustManagerFactoryImpl
javax.net.ssl.TrustManagerFactory$1
javax.net.ssl.TrustManager
javax.net.ssl.TrustManagerFactory
javax.net.ssl.X509TrustManager
javax.net.ssl.TrustManagerFactorySpi
javax.net.ssl.X509ExtendedTrustManager
[Ljavax.net.ssl.TrustManager;

Теперь вы можете воспользоваться функцией для обхода технологии SSL pinning:

com.test.app on (motorola: 7.0) [usb] # android sslpinning disable
Job: 2f633f86-f252-4a57-958e-6b46ac8d69d1 — Starting
[6b46ac8d69d1] [android-ssl-pinning-bypass] Custom, Empty TrustManager ready
Job: 2f633f86-f252-4a57-958e-6b46ac8d69d1 – Started

Техника 4 – Реверс-инжиниринг кода верификации сертификата

Возможен такой случай, когда разработчик использует собственные SSL-библиотеки вместо системных для верификации сертификата. В этой ситуации нам нужно распаковать пакет, сконвертировать smali-код в Java-код и найти функции, отвечающие за проверку сертификата.

Если использовать «dex2jar», синтаксис будет следующим:

C:\>d2j-dex2jar.bat «C:\test_app.apk»
dex2jar C:\test_app.apk -> .\test_app-dex2jar.jar

Полученный файл .jar должен быть пригоден для открытия в вашей любимой утилите для исследования Java-приложений (например, JD-GUI).

После того как вы нашли функции, отвечающие за проверку сертификата, можно либо полностью пропатчить код, либо подцепиться к нужной функции при помощи Frida. Чтобы сэкономить время и не пересобирать полностью приложение, эффективнее подцепиться к функциям, отвечающим за проверку сертификата. Шаги, описанные в предыдущей технике, позволят подключиться к приложению, и далее вы можете либо подцепиться к функции при помощи утилит фреймворка Frida, либо при помощи приложения Objection.

Заключение

Техники, описанные в этой статье, позволяют перехватывать SSL-трафик и обходить некоторые наиболее распространенные защиты, используемые разработчиками. Кроме того, я кратко рассказал об утилите Objection и фреймворке Frida. Обход технологии SSL pinning и других защит лишь небольшая часть возможностей, которые позволяют реализовать эти инструменты.

Надеюсь, мне удалось на доступном языке рассказать о техниках, которые могут быть пригодны для оценки безопасности мобильных Android-приложений и демонстрируют важность наличия нескольких способов проведения подобного рода исследований.

Источник