Vertrauen-Anker nicht gefunden für Android SSL-Verbindung

Im Gegensatz zu den akzeptierte Antwort, die Sie nicht müssen einen benutzerdefinierten trust-manager, müssen Sie fixieren Sie Ihre server-Konfiguration!

Traf ich das gleiche problem beim herstellen einer Verbindung zu einem Apache-server mit einer falsch installiert dynadot/alphassl Zertifikat. Ich bin die Verbindung mittels HttpsUrlConnection (Java/Android), das war zu werfen -

javax.net.ssl.SSLHandshakeException: 
  java.security.cert.CertPathValidatorException: 
    Trust anchor for certification path not found.

Das eigentliche problem ist eine server-Fehlkonfiguration - testen Sie es mit http://www.digicert.com/help/ oder ähnlich, und es wird Ihnen sogar die Lösung:

"Das Zertifikat ist nicht signiert, die von einer vertrauenswürdigen Zertifizierungsstelle (Prüfung gegen Mozilla-root-store). Wenn Sie kaufte das Zertifikat von einer vertrauenswürdigen Autorität, Sie vermutlich einfach zu installieren, müssen ein oder mehrere Zwischenzertifikate. Kontaktieren Sie Ihren Zertifikat-Anbieter für Hilfe, dies zu tun für Ihre server-Plattform."

Können Sie auch überprüfen Sie das Zertifikat mit openssl:

openssl s_client -debug -connect www.thedomaintocheck.com:443

Werden Sie wahrscheinlich finden Sie unter:

Verify return code: 21 (unable to verify the first certificate)

und früher in der Ausgabe:

depth=0 OU = Domain Control Validated, CN = www.thedomaintocheck.com
verify error:num=20:unable to get local issuer certificate
verify return:1
depth=0 OU = Domain Control Validated, CN = www.thedomaintocheck.com
verify error:num=27:certificate not trusted
verify return:1
depth=0 OU = Domain Control Validated, CN = www.thedomaintocheck.com
verify error:num=21:unable to verify the first certificate`

Die Zertifikatkette enthält nur 1 element (Ihr Zertifikat):

Certificate chain
 0 s:/OU=Domain Control Validated/CN=www.thedomaintocheck.com
  i:/O=AlphaSSL/CN=AlphaSSL CA - G2

... aber sollte der Verweis auf die Unterzeichnung Behörden in einer Kette wieder auf eine, die vertrauenswürdigen von Android (Verisign, GlobalSign, etc):

Certificate chain
 0 s:/OU=Domain Control Validated/CN=www.thedomaintocheck.com
   i:/O=AlphaSSL/CN=AlphaSSL CA - G2
 1 s:/O=AlphaSSL/CN=AlphaSSL CA - G2
   i:/C=BE/O=GlobalSign nv-sa/OU=Root CA/CN=GlobalSign Root CA
 2 s:/C=BE/O=GlobalSign nv-sa/OU=Root CA/CN=GlobalSign Root CA
   i:/C=BE/O=GlobalSign nv-sa/OU=Root CA/CN=GlobalSign Root CA

Anweisungen (und die intermediate-Zertifikate) für die Konfiguration Ihres Servers werden in der Regel von der Behörde, die Ihr Zertifikat ausgestellt, zum Beispiel: http://www.alphassl.com/support/install-root-certificate.html

Nach der Installation der Zwischenzertifikate von meinem Zertifikat Emittent ich habe jetzt keine Fehler bei der Verbindung mittels HttpsUrlConnection.

InformationsquelleAutor Stevie

Update basiert auf der neuesten Android-Dokumentation (März 2017):

Wenn Sie diese Art von Fehler:

javax.net.ssl.SSLHandshakeException: java.security.cert.CertPathValidatorException: Trust anchor for certification path not found.
        at org.apache.harmony.xnet.provider.jsse.OpenSSLSocketImpl.startHandshake(OpenSSLSocketImpl.java:374)
        at libcore.net.http.HttpConnection.setupSecureSocket(HttpConnection.java:209)
        at libcore.net.http.HttpsURLConnectionImpl$HttpsEngine.makeSslConnection(HttpsURLConnectionImpl.java:478)
        at libcore.net.http.HttpsURLConnectionImpl$HttpsEngine.connect(HttpsURLConnectionImpl.java:433)
        at libcore.net.http.HttpEngine.sendSocketRequest(HttpEngine.java:290)
        at libcore.net.http.HttpEngine.sendRequest(HttpEngine.java:240)
        at libcore.net.http.HttpURLConnectionImpl.getResponse(HttpURLConnectionImpl.java:282)
        at libcore.net.http.HttpURLConnectionImpl.getInputStream(HttpURLConnectionImpl.java:177)
        at libcore.net.http.HttpsURLConnectionImpl.getInputStream(HttpsURLConnectionImpl.java:271)

könnte das Problem Folgendes sein:

1. Die ZERTIFIZIERUNGSSTELLE, die das Serverzertifikat ausgestellt hat, nicht bekannt war
2. Das server-Zertifikat nicht von einer ZERTIFIZIERUNGSSTELLE signiert wurden, war aber selbst signiertes
3. Der server-Konfiguration fehlt, eine intermediate CA

Die Lösung ist, um zu lehren HttpsURLConnection zu Vertrauen, die einen bestimmten Satz von CAs. Wie? Bitte überprüfen Sie https://developer.android.com/training/articles/security-ssl.html#CommonProblems

Andere, die AsyncHTTPClient aus com.loopj.android:android-async-http library, überprüfen Sie bitte Setup AsyncHttpClient, HTTPS zu verwenden.

InformationsquelleAutor user1506104

Die Fehlermeldung die ich bekam war ähnlich, aber der Grund war, dass das selbst unterzeichnete Zertifikat war abgelaufen.
Wenn die openssl-client versucht wurde, das gab mir den Grund, der übersehen wurde, wenn ich war die überprüfung der Zertifikats-dialog von firefox.

So im Allgemeinen, wenn das Zertifikat gibt es in den Schlüsselspeicher und seine "GÜLTIG", dieser Fehler wird off gehen.

InformationsquelleAutor MPN

Ich hatte das gleiche problem, was ich fand, war, dass das Zertifikat .crt-Datei, die ich zur Verfügung gestellt, fehlt ein Zwischenzertifikat. Also fragte ich alle .crt-Dateien von meinem server-admin, dann aneinandergehängt Sie in umgekehrter Reihenfolge.

Ex.
1. Root.crt
2. Inter.crt
3. myCrt.crt

in windows habe ich ausgeführt
kopieren Inter.crt + Root.crt newCertificate.crt

(Hier habe ich ignoriert myCrt.crt)

Dann gab ich newCertificate.crt-Datei in code per inputstream.
Arbeit.

InformationsquelleAutor sahan maldeniya

Wenn Sie nachrüsten, müssen Sie passen Sie Ihre OkHttpClient.

retrofit = new Retrofit.Builder()
                        .baseUrl(ApplicationData.FINAL_URL)
                        .client(getUnsafeOkHttpClient().build())
                        .addConverterFactory(GsonConverterFactory.create())
                        .build();

Vollständigen code sind wie folgt.

    public class RestAdapter {

    private static Retrofit retrofit = null;
    private static ApiInterface apiInterface;

    public static OkHttpClient.Builder getUnsafeOkHttpClient() {
        try {
            //Create a trust manager that does not validate certificate chains
            final TrustManager[] trustAllCerts = new TrustManager[]{
                    new X509TrustManager() {
                        @Override
                        public void checkClientTrusted(java.security.cert.X509Certificate[] chain, String authType) throws CertificateException {
                        }

                        @Override
                        public void checkServerTrusted(java.security.cert.X509Certificate[] chain, String authType) throws CertificateException {
                        }

                        @Override
                        public java.security.cert.X509Certificate[] getAcceptedIssuers() {
                            return new java.security.cert.X509Certificate[]{};
                        }
                    }
            };

            //Install the all-trusting trust manager
            final SSLContext sslContext = SSLContext.getInstance("SSL");
            sslContext.init(null, trustAllCerts, new java.security.SecureRandom());

            //Create an ssl socket factory with our all-trusting manager
            final SSLSocketFactory sslSocketFactory = sslContext.getSocketFactory();

            OkHttpClient.Builder builder = new OkHttpClient.Builder();
            builder.sslSocketFactory(sslSocketFactory, (X509TrustManager) trustAllCerts[0]);
            builder.hostnameVerifier(new HostnameVerifier() {
                @Override
                public boolean verify(String hostname, SSLSession session) {
                    return true;
                }
            });
            return builder;
        } catch (Exception e) {
            throw new RuntimeException(e);
        }
    }

    public static ApiInterface getApiClient() {
        if (apiInterface == null) {

            try {
                retrofit = new Retrofit.Builder()
                        .baseUrl(ApplicationData.FINAL_URL)
                        .client(getUnsafeOkHttpClient().build())
                        .addConverterFactory(GsonConverterFactory.create())
                        .build();

            } catch (Exception e) {

                e.printStackTrace();
            }


            apiInterface = retrofit.create(ApiInterface.class);
        }
        return apiInterface;
    }

}

InformationsquelleAutor Shihab Uddin

In Lebkuchen-Telefone, bekomme ich immer diese Fehlermeldung: Trust Anchor not found for Android SSL Connection, auch wenn ich das setup zu verlassen, auf mein Zertifikat.

Hier ist der code, den ich verwenden (in der Scala-Sprache):

object Security {
    private def createCtxSsl(ctx: Context) = {
        val cer = {
            val is = ctx.getAssets.open("mycertificate.crt")
            try
                CertificateFactory.getInstance("X.509").generateCertificate(is)
            finally
                is.close()
        }
        val key = KeyStore.getInstance(KeyStore.getDefaultType)
        key.load(null, null)
        key.setCertificateEntry("ca", cer)

        val tmf = TrustManagerFactory.getInstance(TrustManagerFactory.getDefaultAlgorithm)
    tmf.init(key)

        val c = SSLContext.getInstance("TLS")
        c.init(null, tmf.getTrustManagers, null)
        c
    }

    def prepare(url: HttpURLConnection)(implicit ctx: Context) {
        url match {
            case https: HttpsURLConnection ⇒
                val cSsl = ctxSsl match {
                    case None ⇒
                        val res = createCtxSsl(ctx)
                        ctxSsl = Some(res)
                        res
                    case Some(c) ⇒ c
                }
                https.setSSLSocketFactory(cSsl.getSocketFactory)
            case _ ⇒
        }
    }

    def noSecurity(url: HttpURLConnection) {
        url match {
            case https: HttpsURLConnection ⇒
                https.setHostnameVerifier(new HostnameVerifier {
                    override def verify(hostname: String, session: SSLSession) = true
                })
            case _ ⇒
        }
    }
}

und hier ist die Verbindung code:

def connect(securize: HttpURLConnection ⇒ Unit) {
    val conn = url.openConnection().asInstanceOf[HttpURLConnection]
    securize(conn)
    conn.connect();
    ....
}

try {
    connect(Security.prepare)
} catch {
    case ex: SSLHandshakeException /*if ex.getMessage != null && ex.getMessage.contains("Trust anchor for certification path not found")*/ ⇒
        connect(Security.noSecurity)
}

Grundsätzlich richte ich Vertrauen auf meine benutzerdefinierte Zertifikat. Wenn das fehlschlägt, dann kann ich deaktivieren Sie die Sicherheit. Dies ist nicht die beste option, aber die einzige Wahl die ich kenne mit alten und buggy-Handys.

Diesem Beispiel-code, kann leicht übersetzt werden in Java.

InformationsquelleAutor david.perez

**Set proper alias name**
CertificateFactory certificateFactory = CertificateFactory.getInstance("X.509","BC");
            X509Certificate cert = (X509Certificate) certificateFactory.generateCertificate(derInputStream);
            String alias = cert.getSubjectX500Principal().getName();
KeyStore trustStore = KeyStore.getInstance(KeyStore.getDefaultType());
            trustStore.load(null);
trustStore.setCertificateEntry(alias, cert);

InformationsquelleAutor Dayanand Waghmare