¿Cómo instalar el certificado de CA de confianza en un dispositivo Android?

Pasé mucho tiempo tratando de encontrar una respuesta a esto (necesito Android para ver los certificados StartSSL). Conclusión: Android 2.1 y 2.2 le permiten importar certificados, pero solo para su uso con WiFi y VPN. No existe una interfaz de usuario para actualizar la lista de certificados raíz de confianza, pero se discute la posibilidad de agregar esa característica. No está claro si hay una solución confiable para actualizar y reemplazar manualmente los cacerts.archivo bks.

Detalles y enlaces: http://www.mcbsys.com/techblog/2010/12/android-certificates / . En esa publicación, vea el enlace al error de Android 11231 might es posible que desee agregar su voto y consulta a ese error.

Si necesita su certificado para conexiones HTTPS, puede agregar el .archivo bks como recurso sin procesar para su aplicación y extender DefaultHttpConnection para que sus certificados se utilicen para conexiones HTTPS.

public class MyHttpClient extends DefaultHttpClient {

    private Resources _resources;

    public MyHttpClient(Resources resources) {
        _resources = resources;
    }

    @Override
    protected ClientConnectionManager createClientConnectionManager() {
        SchemeRegistry registry = new SchemeRegistry();
        registry.register(new Scheme("http", PlainSocketFactory
            .getSocketFactory(), 80));
        if (_resources != null) {
            registry.register(new Scheme("https", newSslSocketFactory(), 443));
        } else {
            registry.register(new Scheme("https", SSLSocketFactory
                .getSocketFactory(), 443));
        }
        return new SingleClientConnManager(getParams(), registry);
    }

    private SSLSocketFactory newSslSocketFactory() {
        try {
            KeyStore trusted = KeyStore.getInstance("BKS");
            InputStream in = _resources.openRawResource(R.raw.mystore);
            try {
                trusted.load(in, "pwd".toCharArray());
            } finally {
                in.close();
            }
            return new SSLSocketFactory(trusted);
        } catch (Exception e) {
            throw new AssertionError(e);
        }
    }
}

La guía enlazada aquí probablemente responderá a la pregunta original sin la necesidad de programar un conector SSL personalizado.

Encontramos una guía muy detallada sobre cómo importar certificados raíz que realmente lo guía a través de la instalación de certificados de CA de confianza en diferentes versiones de dispositivos Android (entre otros dispositivos).

Básicamente necesitarás:

1. Descargar: los cacerts.archivo bks de su teléfono.

   Adb pull / system / etc / security / cacerts.bks cacerts.bks

2. Descargar el .archivo crt de la autoridad certificadora que desea permitir.

3. Modificar los cacerts.archivo bks en su computadora usando el Proveedor BouncyCastle

4. Sube los cacerts.bks archivo de nuevo a su teléfono y reiniciar.

Aquí hay un paso más detallado a paso para actualizar los teléfonos Android anteriores: Cómo actualizar el almacén de claves de la autoridad de certificación de seguridad HTTPS en pre-android-4.0 dispositivo

Lo que hice para poder usar certificados startssl fue bastante fácil. (en mi teléfono rooteado)

Copié /system/etc/security/cacerts.bks a mi tarjeta sd

Descargado http://www.startssl.com/certs/ca.crt y http://www.startssl.com/certs/sub.class1.server.ca.crt

Fue a portecle.sourceforge.net y ejecuté portecle directamente desde la página web.

Abrí mis cacerts.archivo bks de mi tarjeta sd (no ingresó nada cuando se le pidió un contraseña)

Elija importar en portacle y abra sub.class1.server.ca.crt, en mi caso ya tenía la ca.crt pero tal vez usted necesita para instalar que también.

Guardó el almacén de claves y lo copió baxck a /system/etc/security/cacerts.bks (Hice una copia de seguridad de ese archivo primero por si acaso)

Reinicié mi teléfono y ahora puedo ver mi sitio usando un certificado startssl sin errores.

Hay una solución mucho más fácil para esto que la publicada aquí, o en hilos relacionados. Si está utilizando una vista web (como yo), puede lograr esto ejecutando una función JAVASCRIPT dentro de ella. Si no está utilizando una vista web, es posible que desee crear una oculta para este propósito. Aquí hay una función que funciona en casi cualquier navegador (o webview) para iniciar la instalación de ca (generalmente a través del repositorio de cert del sistema operativo compartido, incluso en un Droid). Usa un buen truco con iFrames. Sólo pasa. la url de a .archivo crt para esta función:

function installTrustedRootCert( rootCertUrl ){
    id = "rootCertInstaller";
    iframe = document.getElementById( id );
    if( iframe != null ) document.body.removeChild( iframe );
    iframe = document.createElement( "iframe" );
    iframe.id = id;
    iframe.style.display = "none";
    document.body.appendChild( iframe );
    iframe.src = rootCertUrl;
}

ACTUALIZACIÓN:

El truco del iframe funciona en Droides con API 19 y superiores, pero las versiones anteriores de webview no funcionarán así. Sin embargo, la idea general todavía funciona: simplemente descargue/abra el archivo con una vista web y luego deje que el sistema operativo se haga cargo. Esta puede ser una solución más fácil y más universal (en el actual java now):

 public static void installTrustedRootCert( final String certAddress ){
     WebView certWebView = new WebView( instance_ );
     certWebView.loadUrl( certAddress );
 }

Tenga en cuenta que instance_ es una referencia a la Actividad. Esto funciona perfectamente si conoce la url a la cert. En mi caso, sin embargo, lo resuelvo dinámicamente con el software del lado del servidor. Tuve que agregar una buena cantidad de código adicional para interceptar una url de redirección y llamar a esto de una manera que no causó un accidente basado en una complicación de subproceso, pero no agregaré toda esa confusión aquí...

Aquí hay una solución alternativa que realmente agrega su certificado a la lista integrada de certificados predeterminados: Confiar en todos los certificados usando HttpClient sobre HTTPS

Sin embargo, solo funcionará para su aplicación. No hay forma de hacerlo programáticamente para todas las aplicaciones en el dispositivo de un usuario, ya que eso sería un riesgo de seguridad.