Everyone

Olaf Titz

Eclair

The standard Android applications for mail, calendar, contacts etc. can synchronize against SSL-protected servers but have no option to check their certificate. Basically, it is possible to either check if the certificate is issued by one of the standard (before Android 4.0, not user-editable) CAs, or not check them at all. This is not enough to reliably assert the identity of the server, which presents the risk of giving sensitive information (account passwords) to the wrong server. This problem is especially important when the server is on a semi-permament connection and found via dynamic DNS, uses self-signed or private-CA certificates, or when using public WiFi hotspots (which are rather trivial to fake and therefore are a regular MitM-attack vector).

This app checks in configurable intervals if a given HTTPS URL is reachable and the server identifies itself with the right certificate. It consists of a home screen widget displaying the status with colored "signal lights":

* green, if the connection is okay

* yellow, when a check is underway

* red, when the server is unreachable

* double red, when the server gives errors or fails certificate checking

* small white, when checking is not needed

When checking and when an error happens, the global synchronization setting is turned off. This way you should be reasonably safe that the synchronization does not try to connect to a server whose identity is not verified, given it is the same server as the one you check.

This is an open source (GPL) app. Source and further documentation is available via my Web site.

Permissions needed:

INTERNET - connect to your server (nowhere else)

ACCESS_NETWORK_STATE - determine your connection (WLAN, mobile...) to find out if checking is needed

READ_SYNC_SETTINGS, WRITE_SYNC_SETTINGS - turn sync off on checking or error

RECEIVE_BOOT_COMPLETED - automatic start (if possible, depending on Android version)

READ_EXTERNAL_STORAGE - read certificates from memory or SD card

Aplikasi Android standar untuk mail, kalender, kontak dll dapat melakukan sinkronisasi terhadap server SSL-dilindungi tetapi tidak memiliki pilihan untuk memeriksa sertifikat mereka. Pada dasarnya, adalah mungkin untuk langsung memeriksanya sertifikat tersebut dikeluarkan oleh salah satu standar (sebelum Android 4.0, bukan user-diedit) CA, atau tidak memeriksa mereka sama sekali. Hal ini tidak cukup untuk andal menegaskan identitas server, yang menyajikan risiko memberikan informasi sensitif (password account) ke server yang salah. Masalah ini sangat penting ketika server pada koneksi semi-permament dan ditemukan melalui DNS dinamis, menggunakan sertifikat yang ditandatangani sendiri atau swasta-CA, atau saat menggunakan hotspot WiFi publik (yang agak sepele untuk palsu dan oleh karena itu adalah MITM biasa vektor -attack).

Aplikasi ini pemeriksaan dalam interval dikonfigurasi jika URL HTTPS diberikan dicapai dan server mengidentifikasi dirinya dengan sertifikat hak. Ini terdiri dari widget home screen menampilkan status dengan warna "lampu sinyal":

* Hijau, jika sambungan baik-baik saja

* Kuning, ketika cek sedang berlangsung

* Merah, ketika server tidak bisa diakses

* Merah ganda, ketika server memberikan kesalahan atau gagal memeriksa sertifikat

* Putih kecil, saat pemeriksaan tidak diperlukan

Ketika memeriksa dan ketika kesalahan terjadi, pengaturan sinkronisasi global dimatikan. Dengan cara ini Anda harus cukup aman bahwa sinkronisasi tidak mencoba untuk menyambung ke server yang identitasnya tidak diverifikasi, mengingat itu adalah server yang sama seperti yang Anda memeriksa.

Ini adalah open source (GPL) app. Sumber dan dokumentasi lebih lanjut tersedia melalui situs web saya.

Perizinan yang dibutuhkan:

INTERNET - terhubung ke server Anda (tempat lain)

ACCESS_NETWORK_STATE - menentukan koneksi (WLAN, ponsel ...) untuk mengetahui apakah pemeriksaan yang diperlukan

READ_SYNC_SETTINGS, WRITE_SYNC_SETTINGS - mengaktifkannya off pada memeriksa atau kesalahan

RECEIVE_BOOT_COMPLETED - mulai otomatis (jika mungkin, tergantung pada versi Android)

READ_EXTERNAL_STORAGE - baca sertifikat dari memori atau kartu SD

Memeriksa apakah server Anda bisa diakses dan menyajikan sertifikat SSL yang benar

Home Network SSL Checker

Versi Terakhir dari Home Network SSL Checker