使用 IP 的有效 android 证书

Question

在我的工作中，我们使用内部 CA 运行私有 PKI 来签署我们的服务器证书。在开发通过 https 与 REST api 通信的 Android 应用程序时，我使用 192.168.x.x IP 设置了一个开发服务器并为其颁发了证书。所以我有：

• CN 为“自定义 CA”的 CA 证书
• CN 192.168.0.3 的服务器证书

然后我关注Android docs on setting up a TrustStore 并让应用程序在 Android 4.0.4 设备中通过 https 进行通信。 当我在运行 Android 4.4 (KitKat) 的设备上测试该应用程序时，无法验证服务器。

有什么想法吗？

Answer 1

所以在深入了解RFC2818 和RFC6125 之后，我发现APIv14 (4.0.4) 中的 DefaultHostnameVerifier 实现会根据 CN 部分检查主机，如果不匹配，它将查找 DNS 类型，但不是 IP 类型。 APIv19 (4.4.4) 将根据 SAN IP 条目检查 IP 主机。

所以我在服务器证书中添加了一个 IP SAN 条目 192.168.0.3 并针对 CA 进行了签名，并让 4.4 设备通过 HTTPS 进行通信。