如何启用TLSv1.3 OkHttp 3.12. x在Android 8/9？

Question

我正在Android 9（Pixel 2设备）上使用OkHttp 3.12.2，并尝试连接到运行OpenSSL 1.1.1的nginx 1.14.0。nginx能够支持TLSv1。我用Ubuntu 18.04上的Firefox 66.0.2、Android 9上的Chrome 73.0和ChromeOS 72.0验证了这一点。

然而，OkHttp总是协商TLSv1.2。我还试图设置RESTRICTED_TLSConnectionSpec，但没有帮助。

我没有找到关于如何获取TLSv1的具体说明。3在Android上工作。我知道只有Android8和9支持TLSv1。3开箱即用；我现在可以接受这个限制。

我从早期TLS迁移中获得的经验是，除了更新所有相关组件之外，我不需要做任何事情。

Answer 1

问题很可能是，客户机或证书可能在所有情况下都不支持TLS 1.3，然后会退回。尝试运行SSL测试以验证这一点（它还对移动客户端执行检查，这可能会以不同的方式进行协商）。将OhHttp升级到3.13或3.14（很快）也可能是一种选择；这是更改日志。即使Android应该支持它，客户端也需要配置：

OkHttpClient client = new OkHttpClient.Builder()
    .connectionSpecs(Arrays.asList(ConnectionSpec.MODERN_TLS))
    .build();

可能的值有：RESTRICTED\u-TLS、MODERN\u-TLS和（向后）COMPATIBLE\u-TLS。

Answer 2

如官方链接TLSv1所示。wards上的Android 10（Api级别29）支持3。所以要支持TLSv1。3在以前的版本中，我们可以集成conscrypt库。Conscrypt安全提供程序包括用于TLS功能的公共API。为此，我们必须添加依赖项，

dependencies {
  implementation 'org.conscrypt:conscrypt-android:2.2.1'
}

这里我们还需要OkHttp客户端，因为它支持conscrypt。

如OkHttp中所述，

OkHttp使用您平台的内置TLS实现。在Java平台上，OkHttp还支持Conscrypt，它将BoringSSL与Java集成。如果它是第一个安全提供者，OkHttp将使用Conscrypt。

在添加了conscrypt依赖之后，在应用程序类中我们只需要提到，

Security.insertProviderAt(Conscrypt.newProvider(), 1);

这可能有助于提供支持和启用TLS 1.3在较旧的Android版本（API级别