Comment faire fonctionner Charles Proxy avec Android 7 Nougat?

Question

Android 7 a introduit quelques modifications dans la façon dont les certificats sont gérés (http://android-developers.blogspot.com/2016/07/changes-to-trusted-certificate.html) et d'une manière ou d'une autre, je ne parviens plus à faire fonctionner mon proxy Charles.

Mon network_security_config.xml :

Je suis en mode debug. Mais quoi que je fasse, j'obtiens javax.net.ssl.SSLHandshakeException: java.security.cert.CertPathValidatorException: Trust anchor for certification path not found..

Inutile de dire que j'ai installé un certificat pfx depuis Paramètres -> Sécurité -> Installer à partir du stockage. Le certificat apparaît dans Crédential utilisateur mais pas dans Crédential de confiance -> Utilisateur. Sur mon appareil lollipop, les certificats sont listés là-bas.

J'utilise okhttp3 comme bibliothèque HTTP.

Avez-vous une idée de ce que je fais de faux ?

Answer 1

La solution est de ne pas utiliser .p12, il suffit de naviguer avec Chrome (avec un proxy configuré sur le wifi) vers http://charlesproxy.com/getssl et d'installer le fichier .pem téléchargé.

J'ai exactement eu le même problème sur mon Nexus 5X fonctionnant sous Android 7.0. Un fichier .p12 avait été exporté auparavant depuis Charles 3.11.5 (Aide->Proxy SSL->Exporter le certificat racine de Charles et la clé privée). Lorsque j'ai essayé d'installer le fichier .p12 depuis le téléphone (Paramètres->Sécurité->Installer à partir du stockage), il apparaissait uniquement sous "Certificats utilisateur" et jamais sous "Certificats de confiance", et bien sûr SSL avec le proxy Charles ne fonctionnait pas.

La procédure "comment faire" pour Android 7.0 serait la suivante :

1. Configurer le WiFi + le proxy (comme Charles le requiert). Connectez-vous.
2. Sur l'appareil, naviguez avec Chrome vers http://charlesproxy.com/getssl, acceptez la demande de téléchargement du fichier .pem, puis appuyez sur "ouvrir", cela lance l'application "Installateur de certificat". Utilisez-la pour installer le certificat en tant que "VPN et apps".
3. Ajoutez l'attribut android:networkSecurityConfig="@xml/network_security_config" à dans le fichier Manifest.xml
4. Créez le fichier res/xml/network_security_config.xml avec le contenu du premier post (il est tout à fait correct).
5. Lancez Charles et l'application et amusez-vous.

P.S. Vérifiez la date et l'heure sur l'appareil. Elles doivent être correctes.

Answer 2

J'ai écrit un script qui injecte l'apk avec les exceptions requises et permet d'utiliser Charles Proxy avec l'application.

Voici le Github https://github.com/levyitay/AddSecurityExceptionAndroid

Answer 3

Basé sur le fil de dépannage des commentaires pour l'OP, la réponse est d'installer uniquement le certificat CA du proxy en tant que certifié, pas son certificat + clé privée.

Le problème a été causé par deux facteurs :

1. Installation non seulement du certificat CA du proxy MiTM mais également de sa clé privée (permettant ainsi aux applications VPN sur l'appareil de décrypter/intercepter le trafic réseau des autres applications). Vous n'avez pas besoin de la clé privée du proxy MiTM sur l'appareil.

2. Modification du comportement d'Android Nougat dans le flux de Paramètres -> Sécurité -> Installer à partir du stockage pour les fichiers contenant une clé privée en plus des certificats. Ce changement de comportement a mis en lumière le problème ci-dessus.

Avant Nougat, le flux de Paramètres -> Sécurité -> Installer à partir du stockage pour les fichiers contenant une clé privée en plus des certificats installait par erreur les certificats comme étant de confiance pour l'authentification du serveur (par exemple, HTTPS, TLS, facilitant ainsi la réussite de votre MiTM), en plus d'être correctement installés en tant que certificats clients utilisés pour authentifier cet appareil Android auprès des serveurs. Dans Nougat, le bogue a été corrigé et ces certificats ne sont plus installés comme étant de confiance pour l'authentification du serveur. Cela empêche les informations d'authentification client d'affecter (affaiblir) la sécurité des connexions aux serveurs. Dans votre scénario, cela empêche la réussite de votre MiTM.

Ce qui complique les choses, c'est que le flux de Paramètres -> Sécurité -> Installer à partir du stockage ne fournit pas de moyen explicite à l'utilisateur pour spécifier s'il installe une information d'authentification client (clé privée + chaîne de certificats) ou une ancre de confiance pour l'authentification du serveur (juste un certificat CA -- pas de clé privée nécessaire). En conséquence, le flux de Paramètres -> Sécurité -> Installer à partir du stockage devine s'il s'agit d'une information d'authentification client/utilisateur ou d'une ancre de confiance pour l'authentification du serveur en supposant que, si une clé privée est spécifiée, il doit s'agir d'une information d'authentification client/utilisateur. Dans votre cas, il a incorrectement supposé que vous installiez une information d'authentification client/utilisateur plutôt qu'une ancre de confiance pour l'authentification du serveur.

P. S. En ce qui concerne votre configuration de sécurité réseau, vous devriez probablement configurer l'application pour également faire confiance aux ancres de confiance "système" en mode debug (section debug-overrides). Sinon, les versions debug de l'application ne fonctionneront pas à moins que les connexions ne soient interceptées par un proxy dont le certificat CA est installé en tant que de confiance sur l'appareil Android.

Answer 4

Pour moi, le proxy SSL ne fonctionnait pas dans la variante de build release. Dans debug, cela fonctionnait.

Answer 5

Je suis sur Android 7.1.1, voici comment je configure mon appareil (OnePlus One) - sans modifier le manifeste (je ciblais l'API 21 pour mon application) :

Dans Charles Proxy :

1. Aide > SSL Proxying > Installer le certificat racine de Charles sur un appareil mobile ou un navigateur distant. Ces étapes vous donnent l'IP et le numéro de port du proxy ainsi que le lien où vous devez télécharger le certificat SSL de charles proxy.

Sur votre téléphone :

2. Paramètres Wi-Fi > Modifier le réseau > Options avancées. Définissez le proxy sur Manuel et entrez l'IP et le numéro de port que vous avez reçu de Charles dans les champs Proxy hostname et Proxy port respectivement.

3. (FACULTATIF) Vous pouvez ou non accéder au lien chls.pro/ssl fourni par Charles auparavant. Sur mon appareil, j'ai toujours été informé que je n'avais pas de connexion réseau. J'ai ajouté charlesproxy.com dans le champ Bypass proxy for.

4. Sur votre navigateur, allez sur le lien de l'étape 3 et téléchargez le certificat nécessaire (si cela ne fonctionne pas sur Chrome, téléchargez Dolphin Browser). Vous pouvez nommer votre certificat comme vous le souhaitez.

Retour sur Charles Proxy :

5. Vous devriez recevoir une demande de Permettre ou Refuser l'utilisation du proxy sur votre téléphone si vos paramètres sont configurés pour vous demander pour les connexions distantes.

Vous pouvez maintenant utiliser Charles sur Nougat 7.1.1.