如何在 Android 8/9 上为 OkHttp 3.12.x 启用 TLSv1.3？

Question

我在 Android 9（Pixel 2 设备）上使用 OkHttp 3.12.2 并尝试连接到运行 OpenSSL 1.1.1 的 nginx 1.14.0。 nginx 支持 TLSv1.3，我在 Ubuntu 18.04 上使用 Firefox 66.0.2、Android 9 上的 Chrome 73.0 和 ChromeOS 72.0 验证了这一点。

但是，OkHttp 始终协商 TLSv1.2。我也尝试设置 RESTRICTED_TLS ConnectionSpec，但没有帮助。

我没有找到关于如何让 TLSv1.3 在 Android 上运行的具体说明。我知道只有 Android 8 和 9 支持开箱即用的 TLSv1.3；我现在没有这个限制。

我从早期 TLS 迁移中获得的经验是，除了更新所有涉及的组件之外，我不需要做任何事情。

Answer 1

如官方link所示， TLSv1.3 从 Android 10（API 级别 29）开始受支持。因此，为了在以前的版本中支持 TLSv1.3，我们可以集成 conscrypt 库。 Conscrypt 安全提供程序包括一个用于 TLS 功能的公共 API。为此，我们必须添加依赖项，

dependencies {
  implementation 'org.conscrypt:conscrypt-android:2.2.1'
}

这里我们还需要 OkHttp 客户端，因为它支持 conscrypt。

如OkHttp 中所述，

OkHttp 使用您平台的内置 TLS 实现。在 Java 上 平台 OkHttp 还支持 Conscrypt，它集成了 BoringSSL 用Java。如果是第一个安全性，OkHttp 将使用 Conscrypt 提供者。

添加conscrypt依赖后，在应用类中我们只需要提一下，

Security.insertProviderAt(Conscrypt.newProvider(), 1);

这有助于在较早的 android 版本（API 级别

Answer 2

问题很可能是，客户端或证书可能在所有情况下都不支持 TLS 1.3 - 然后会退回。尝试运行SSL test 来验证这一点（它还会对移动客户端执行检查，这可能会以不同的方式进行协商）。将 OhHttp 升级到 3.13 或 3.14（很快）也可能是一种选择；这是change log。即使 Android 应该支持它，客户端也需要配置：

OkHttpClient client = new OkHttpClient.Builder()
    .connectionSpecs(Arrays.asList(ConnectionSpec.MODERN_TLS))
    .build();

可能的值有：RESTRICTED_TLS、MODERN_TLS 和（向后）COMPATIBLE_TLS。