我如何告诉TLS版本在Android Volley

Question

我的项目使用Android Volley网络框架已经很久了，但是最近我发现了一个发布在互联网上的SSL 3.0协议bug。

我想知道如何找出我的项目使用的TLS版本，以及如何确认库是否更新。

这是我的源代码片段：

HttpStack stack = new HurlStack();
Network network = new BasicNetwork(stack);
mHttpRequestQueue = new RequestQueue(new NoCache(), network);
mHttpRequestQueue.start();

我认为重点是HurlStack类，它取决于org.apache.http包，但是我不知道TLS/SSL配置在哪里。

Answer 1

@w3bshark的回答对我很有用。但在使用该代码之前，请确保包含更新安全提供程序的代码。在我的例子中，TLS在我更新安全提供程序之前不起作用。下面是更新它的代码。

private void updateAndroidSecurityProvider() {
    try {
        ProviderInstaller.installIfNeeded(this);
    } catch (GooglePlayServicesRepairableException e) {
        Log.e("Test321", "PlayServices not installed");
    } catch (GooglePlayServicesNotAvailableException e) {
        Log.e("Test321", "Google Play Services not available.");
    }
}

Answer 2

在Android上，使用的TLS版本主要取决于使用的Android版本。Apache Volley基于基于HttpsUrlConnection的Apache Http客户端，因此使用标准SSL/TLS SSLSocketFactory。

在低于4.3的Android上，通常只支持SSLv3和TLS1.0。在更高版本上，TLS 1.1和1.2通常受支持，但被禁用。

从Android 5 TLS 1.1和TLS 1.2开始默认支持和启用

Answer 3

您可以通过创建自定义HTTPStack并在Volley中设置堆栈来修改Volley中使用的TLS版本。newRequestQueue（context，httpStack）方法。JAVA尽管如此，您只需要为Android版本16-19执行此操作。v16之前不支持TLS 1.2，v19之后默认启用TLS 1.2。因此，对于Android版本16-19，您应该关注手动将TLS设置为1.2。

if (Build.VERSION.SDK_INT >= Build.VERSION_CODES.JELLY_BEAN
    && Build.VERSION.SDK_INT <= Build.VERSION_CODES.KITKAT) {
    try {
      ProviderInstaller.installIfNeeded(getContext());
    } catch (GooglePlayServicesRepairableException e) {
      // Indicates that Google Play services is out of date, disabled, etc.
      // Prompt the user to install/update/enable Google Play services.
      GooglePlayServicesUtil.showErrorNotification(e.getConnectionStatusCode(), getContext());
      // Notify the SyncManager that a soft error occurred.
      syncResult.stats.numIOExceptions++;
      return;
    } catch (GooglePlayServicesNotAvailableException e) {
      // Indicates a non-recoverable error; the ProviderInstaller is not able
      // to install an up-to-date Provider.
      // Notify the SyncManager that a hard error occurred.
      syncResult.stats.numAuthExceptions++;
      return;
    }

    HttpStack stack = null;
    try {
      stack = new HurlStack(null, new TLSSocketFactory());
    } catch (KeyManagementException e) {
      e.printStackTrace();
      Log.d("Your Wrapper Class", "Could not create new stack for TLS v1.2");
      stack = new HurlStack();
    } catch (NoSuchAlgorithmException e) {
      e.printStackTrace();
      Log.d("Your Wrapper Class", "Could not create new stack for TLS v1.2");
      stack = new HurlStack();
    }
    requestQueue = Volley.newRequestQueue(context, stack);
} else {
  requestQueue = Volley.newRequestQueue(context);
}

然后使用TLSSocketFactory类扩展SSLSocketFactory，就像这里创建的Florian Krauthan一样，其中启用了v1.2 TLS协议：https://gist.github.com/fkrauthan/ac8624466a4dee4fd02f#file-tlssocketfactory-java