Почему Volley возвращается к SSLV3?

Я постоянно слежу за ошибками своего приложения и слишком много раз вижу следующую ошибку

 javax.net.ssl.SSLHandshakeException: javax.net.ssl.SSLProtocolException: SSL handshake aborted: ssl=0xb8f0fc28: Failure in SSL library, usually a protocol error

ошибка: 14077410: подпрограммы SSL: SSL23_GET_SERVER_HELLO: сбой квитирования предупреждения sslv3 (внешний / openssl / ssl / s23_clnt.c: 741 0xaa48cd5c: 0x00000000) -javax.net.ssl.SStocolHandshakeException: javaxception. ssl = 0xb8f0fc28: сбой в библиотеке SSL, обычно ошибка ошибки протокола: 14077410: подпрограммы SSL: SSL23_GET_SERVER_HELLO: сбой подтверждения подтверждения sslv3 (external / openssl / ssl / s23_clnt.c: 741 0xaa48cd5c: 0x00000000)

Вы можете видеть, что ошибка связана с SSLV3, а мой сервер поддерживает только TLSV1.2.

Похоже, что на некоторых клиентах Volley возвращается к использованию SSLV3 (по какой-то причине), и они получают ошибку.

Эта ошибка возникает у пользователей Android 4.4.2, 4.4.4, 4.1.1 и более.

Интересно, что я также использую DefaultHttpClient в том же приложении, но, похоже, он не сообщает о той же проблеме.

Я использую HurlStack по умолчанию в Volley

Я видел следующее ... Отключить SSL как протокол в HttpsURLConnection

и https://code.google.com/p/android/issues/detail?id=78187

Итак, какие у меня варианты?

  1. Верно ли мое предположение, что Volley возвращается к SSLV3?

  2. Почему залп откатывается на SSLV3? Другими словами, каков был исходный сбой, вызвавший откат, и как его устранить?

  3. Я недавно скачал Volley, но не уверен, что это последняя версия. Как узнать, какая у меня версия ?.

Есть предположения?


person Oved Yavine    schedule 17.07.2015    source источник
comment
никто не поможет?   -  person Oved Yavine    schedule 18.07.2015
comment
Я хотел бы исследовать stackoverflow.com/questions/24357863/   -  person mattm    schedule 18.07.2015


Ответы (1)


Ваш сервер не поддерживает SSLv3, поскольку у него есть некоторые проблемы с безопасностью, и его не следует использовать.

При использовании версий Android до Kitkat вы должны использовать фабрику сокетов, которая удаляет SSLv3 для использования в качестве конфигурации по умолчанию:

public class VolleyToolboxExtension extends Volley {
    /** Default on-disk cache directory. */
    private static final String DEFAULT_CACHE_DIR = "volley";

    /**
     * Creates a default instance of the worker pool and calls {@link RequestQueue#start()} on it.
     *
     * @param context A {@link Context} to use for creating the cache dir.
     * @param stack An {@link HttpStack} to use for the network, or null for default.
     * @return A started {@link RequestQueue} instance.
     */
    public static RequestQueue newRequestQueue(Context context, HttpStack stack) {
        File cacheDir = new File(context.getCacheDir(), DEFAULT_CACHE_DIR);
        String userAgent = "volley/0";
        try {
            String packageName = context.getPackageName();
            PackageInfo info = context.getPackageManager().getPackageInfo(packageName, 0);
            userAgent = packageName + "/" + info.versionCode;
        } catch (PackageManager.NameNotFoundException e) {

        }
        if (stack == null) {
            if (Build.VERSION.SDK_INT >= 9) {
                if (Build.VERSION.SDK_INT < Build.VERSION_CODES.KITKAT) {
                    // Use a socket factory that removes sslv3
                    stack = new HurlStack(null, new NoSSLv3Compat.NoSSLv3Factory());
                } else {
                    stack = new HurlStack();
                }
            } else {
                // Prior to Gingerbread, HttpUrlConnection was unreliable.
                // See: http://android-developers.blogspot.com/2011/09/androids-http-clients.html
                stack = new HttpClientStack(AndroidHttpClient.newInstance(userAgent));
            }
        }
        Network network = new BasicNetwork(stack);
        RequestQueue queue = new RequestQueue(new DiskBasedCache(cacheDir), network);
        queue.start();
        return queue;
    }

    /**
     * Creates a default instance of the worker pool and calls {@link RequestQueue#start()} on it.
     *
     * @param context A {@link Context} to use for creating the cache dir.
     * @return A started {@link RequestQueue} instance.
     */
    public static RequestQueue newRequestQueue(Context context) {
        return newRequestQueue(context, null);
    }

}

Класс NoSSLv3Compat можно найти здесь: https://github.com/Floens/volley/blob/master/src/com/android/volley/compat/NoSSLv3Compat.java

Используйте это расширение для создания очереди запросов:

    /**
     * @return The Volley Request queue, the queue will be created if it is null
     */
    public RequestQueue getRequestQueue() {
        // lazy initialize the request queue, the queue instance will be
        // created when it is accessed for the first time
        if (mRequestQueue == null) {
            // Create the request queue
            mRequestQueue = VolleyToolboxExtension.newRequestQueue(getApplicationContext());
        }

        return mRequestQueue;
    }

Вы также можете использовать Retrofit вместо Volley, поскольку Square выпустила версию этой библиотеки 2.1, которая поддерживает конфигурацию версии TLS:

http://square.github.io/retrofit/

person crubio    schedule 23.10.2015
comment
где я могу найти DelegateSSLSocket, что вы расширяете здесь Private static class NoSSLv3SSLSocket extends DelegateSSLSocket { - person Rohit Gupta; 17.11.2017