page.title=Konfigurasi Keamanan Jaringan page.keywords=androidn,keamanan,jaringan page.image=images/cards/card-nyc_2x.jpg @jd:body
Android N menyertakan fitur Network Security Configuration yang memungkinkan aplikasi menyesuaikan setelan keamanan jaringan mereka dalam file konfigurasi deklaratif yang aman tanpa memodifikasi kode aplikasi. Setelan ini bisa dikonfigurasi untuk domain dan aplikasi tertentu. Kemampuan utama fitur ini adalah sebagai berikut:
Fitur Network Security Configuration menggunakan file XML tempat Anda menetapkan setelan untuk aplikasi. Anda harus menyertakan sebuah entri dalam manifes aplikasi untuk menunjuk ke file ini. Kutipan kode berikut dari sebuah manifes yang memperagakan cara membuat entri ini:
<?xml version="1.0" encoding="utf-8"?> <manifest ... > <application ... > <meta-data android:name="android.security.net.config" android:resource="@xml/network_security_config" /> ... </application> </manifest>
Aplikasi mungkin perlu mempercayai set CA khusus sebagai ganti default platform. Alasannya yang paling umum adalah:
Secara default koneksi (mis. TLS, HTTPS) aman dari semua aplikasi mempercayai CA yang telah dipasang oleh sistem, dan aplikasi yang menargetkan API level 23 (Android M) ke bawah, juga mempercayai penyimpanan CA yang ditambahkan pengguna secara default. Aplikasi bisa menyesuaikan koneksinya menggunakan {@code base-config} (untuk penyesuaian lebar-aplikasi) atau {@code domain-config} (untuk penyesuaian per-domain).
Anggaplah Anda ingin menghubungkan ke host Anda yang menggunakan sertifikat SSL yang ditandatangani sendiri atau ke host yang sertifikat SSL-nya dikeluarkan oleh CA non-publik yang Anda percaya, seperti CA internal perusahaan Anda.
res/xml/network_security_config.xml
:
<?xml version="1.0" encoding="utf-8"?> <network-security-config> <domain-config> <domain includeSubdomains="true">example.com</domain> <trust-anchors> <certificates src="@raw/my_ca"/> </trust-anchors> </domain-config> </network-security-config>
Menambahkan sertifikat CA yang ditandatangani sendiri atau sertifikat CA non-publik, dalam format PEM atau DER, ke {@code res/raw/my_ca}.
Aplikasi yang tidak ingin mempercayai semua CA yang dipercaya oleh sistem sebagai gantinya bisa menetapkan set CA sendiri yang telah dikurangi untuk dipercaya. Ini akan melindungi aplikasi dari sertifikat palsu yang dikeluarkan oleh selain CA.
Konfigurasi untuk membatasi set CA tepercaya mirip dengan mempercayai CA khusus untuk domain tertentu selain beberapa CA disediakan dalam sumber daya.
res/xml/network_security_config.xml
:
<?xml version="1.0" encoding="utf-8"?> <network-security-config> <domain-config> <domain includeSubdomains="true">secure.example.com</domain> <domain includeSubdomains="true">cdn.example.com</domain> <trust-anchors> <certificates src="@raw/trusted_roots"/> </trust-anchors> </domain-config> </network-security-config>
Menambahkan CA tepercaya, dalam format PEM atau DER, ke {@code res/raw/trusted_roots}.
Perhatikan, jika menggunakan format PEM, file hanya boleh berisi data PEM
dan tidak ada teks tambahan. Anda juga bisa menyediakan beberapa elemen
<certificates>
sebagai ganti satu elemen.
Sebuah aplikasi mungkin perlu mempercayai CA tambahan yang tidak dipercaya oleh sistem, hal ini bisa disebabkan karena sistem belum menyertakan CA atau CA tidak memenuhi persyaratan untuk memasukkan ke dalam sistem Android. Aplikasi bisa melakukannya dengan menetapkan beberapa sumber sertifikat untuk konfigurasi.
res/xml/network_security_config.xml
:
<?xml version="1.0" encoding="utf-8"?> <network-security-config> <base-config> <trust-anchors> <certificates src="@raw/extracas"/> <certificates src="system"/> </trust-anchors> </base-config> </network-security-config>
Saat men-debug aplikasi yang terhubung melalui HTTPS, Anda mungkin perlu menghubungkan ke server pengembangan lokal, yang tidak memiliki sertifikat SSL untuk server produksi Anda. Untuk mendukungnya tanpa memodifikasi kode aplikasi, Anda bisa menetapkan CA hanya-debug yang hanya dipercaya bila android:debuggable adalah {@code true} dengan menggunakan {@code debug-overrides}. Biasanya IDE dan alat build menyetel flag ini secara otomatis untuk build non-rilis.
Ini lebih aman daripada kode kondisional biasa karena, sebagai tindakan pencegahan keamanan, toko aplikasi tidak menerima aplikasi yang ditandai bisa-di-debug.
res/xml/network_security_config.xml
:
<?xml version="1.0" encoding="utf-8"?> <network-security-config> <debug-overrides> <trust-anchors> <certificates src="@raw/debug_cas"/> </trust-anchors> </debug-overrides> </network-security-config>
Aplikasi bermaksud menyambung ke tujuan hanya menggunakan koneksi aman dapat memilih keluar dari dukungan cleartext (menggunakan protokol HTTP yang tidak terenkripsi sebagai ganti HTTPS) ke tujuan tersebut. Opsi ini akan membantu mencegah regresi tidak disengaja dalam aplikasi karena perubahan dalam URL yang disediakan oleh sumber-sumber eksternal seperti server backend. Lihat {@link android.security.NetworkSecurityPolicy#isCleartextTrafficPermitted NetworkSecurityPolicy.isCleartextTrafficPermitted()} untuk detail selengkapnya.
Misalnya, aplikasi mungkin ingin memastikan semua koneksi ke {@code secure.example.com} selalu dilakukan melalui HTTPS untuk melindungi lalu lintas sensitif dari jaringan yang berbahaya.
res/xml/network_security_config.xml
:
<?xml version="1.0" encoding="utf-8"?> <network-security-config> <domain-config usesCleartextTraffic="false"> <domain includeSubdomains="true">secure.example.com</domain> </domain-config> </network-security-config>
Biasanya aplikasi mempercayai semua CA yang telah terpasang. Jika salah satu dari CA ini mengeluarkan sertifikat palsu, aplikasi akan berisiko terkena serangan MiTM. Beberapa aplikasi memilih untuk membatasi set sertifikat yang mereka terima baik dengan membatasi set CA yang mereka percaya atau dengan menyematkan sertifikat.
Penyematan sertifikat dilakukan dengan memberikan seperangkat sertifikat dengan hash kunci publik (SubjectPublicKeyInfo pada sertifikat X.509). Rantai sertifikat nanti hanya berlaku jika rantai sertifikat berisi setidaknya salah satu dari kunci publik yang disematkan.
Perhatikan, saat menggunakan penyematan sertifikat, Anda harus selalu menyertakan kunci cadangan sehingga jika Anda terpaksa beralih ke kunci baru, atau mengubah CA (saat menyematkan ke sertifikat CA atau perantara CA tersebut), konektivitas aplikasi Anda tidak terpengaruh. Jika tidak, Anda harus mendorong pembaruan ke aplikasi tersebut untuk memulihkan konektivitas.
Selain itu dimungkinkan juga menyetel waktu habis masa berlaku untuk pin setelah penyematan tidak dilakukan. Hal ini membantu mencegah masalah konektivitas dalam aplikasi yang belum diperbarui. Akan tetapi, menyetel waktu kedaluwarsa pada pin mungkin akan membuat penyematan bisa diabaikan.
res/xml/network_security_config.xml
:
<?xml version="1.0" encoding="utf-8"?> <network-security-config> <domain-config> <domain includeSubdomains="true">example.com</domain> <pin-set expiration="2018-01-01"> <pin digest="SHA-256">7HIpactkIAq2Y49orFOOQKurWxmmSFZhBCoQYcRhJ3Y=</pin> <!-- backup pin --> <pin digest="SHA-256">fwza0LRMXouZHRC8Ei+4PyuldPDcf3UKgO/04cDM1oE=</pin> </pin-set> </domain-config> </network-security-config>
Nilai yang tidak disetel dalam konfigurasi tertentu akan diwariskan. Perilaku ini memungkinkan konfigurasi yang lebih kompleks sambil menjaga file konfigurasi tetap terbaca.
Jika nilai tidak disetel dalam entri tertentu maka nilai dari entri berikutnya yang lebih umum akan digunakan. Nilai yang tidak disetel dalam {@code domain-config} akan diambil dari {@code domain-config} induk, jika tersarang, atau dari {@code base-config} jika tidak. Nilai yang tidak disetel dalam {@code base-config} akan menggunakan nilai default platform.
Misalnya pertimbangkan, bila semua koneksi ke subdomain {@code example.com} harus menggunakan set CA khusus. Selain itu, lalu lintas cleartext ke domain ini diizinkan kecuali saat menghubungkan ke {@code secure.example.com}. Dengan menyarangkan konfigurasi untuk {@code secure.example.com} dalam konfigurasi untuk {@code example.com}, {@code trust-anchors} tidak perlu digandakan.
res/xml/network_security_config.xml
:
<?xml version="1.0" encoding="utf-8"?> <network-security-config> <domain-config> <domain includeSubdomains="true">example.com</domain> <trust-anchors> <certificates src="@raw/my_ca"/> </trust-anchors> <domain-config cleartextTrafficPermitted="false"> <domain includeSubdomains="true">secure.example.com</domain> </domain-config> </domain-config> </network-security-config>
Fitur Network Security Configuration menggunakan format file XML. Struktur keseluruhan file ditampilkan dalam contoh kode berikut:
<?xml version="1.0" encoding="utf-8"?> <network-security-config> <base-config> <trust-anchors> <certificates src="..."/> ... </trust-anchors> </base-config> <domain-config> <domain>android.com</domain> ... <trust-anchors> <certificates src="..."/> ... </trust-anchors> <pin-set> <pin digest="...">...</pin> ... </pin-set> </domain-config> ... <debug-overrides> <trust-anchors> <certificates src="..."/> ... </trust-anchors> </debug-overrides> </network-security-config>
Bagian berikut menjelaskan sintaks dan detail lainnya dari format file.
<base-config>
<domain-config>
<debug-overrides>
<base-config usesCleartextTraffic=["true" | "false"]> ... </base-config>
<trust-anchors>
domain-config
.
Nilai yang tidak disetel akan menggunakan nilai default platform. Konfigurasi default untuk aplikasi yang menargetkan API level 24 ke atas:
<base-config usesCleartextTraffic="true"> <trust-anchors> <certificates src="system" /> </trust-anchors> </base-config>Konfigurasi default untuk aplikasi yang menargetkan API level 23 ke bawah:
<base-config usesCleartextTraffic="true"> <trust-anchors> <certificates src="system" /> <certificates src="user" /> </trust-anchors> </base-config>
<domain-config usesCleartextTraffic=["true" | "false"]> ... </domain-config>
<domain>
<trust-anchors>
<pin-set>
<domain-config>
tersarangPerhatikan, jika beberapa elemen {@code domain-config} mencakup suatu tujuan, konfigurasi dengan aturan domain paling spesifik (terpanjang) yang cocok akan digunakan.
<domain includeSubdomains=["true" | "false"]>example.com</domain>
<debug-overrides> ... </debug-overrides>
<trust-anchors>
<trust-anchors> ... </trust-anchors>
<certificates>
<certificates src=["system" | "user" | "raw resource"] overridePins=["true" | "false"] />
Menetapkan apakah CA dari sumber akan mengabaikan penyematan sertifikat. Jika {@code "true"} kemudian rangkaian sertifikat melalui salah satu CA dari sumber ini maka tidak dilakukan penyematan. Hal ini bisa berguna untuk debug CA atau untuk mendukung dengan memungkinkan pengguna melakukan MiTM atas lalu lintas aman aplikasi Anda.
Default-nya adalah {@code "false"} kecuali jika ditetapkan dalam elemen {@code debug-overrides}, dalam hal demikian default-nya adalah {@code "true"}.
<pin-set expiration="date"> ... </pin-set>
<pin>
<pin>
untuk mengetahui format pin.
Tanggal kedaluwarsa membantu mencegah masalah konektivitas di aplikasi yang tidak mengambil pembaruan untuk set pin mereka, misalnya karena pengguna menonaktifkan pembaruan aplikasi.
<pin digest=["SHA-256"]>base64 encoded digest of X.509 SubjectPublicKeyInfo (SPKI)</pin>