如何在 Android 设备上安装可信 CA 证书？

如果需要 HTTPS 连接证书，可以添加。Bks 文件作为应用程序的原始资源，并扩展 DefaultHttpConnection，使您的证书用于 HTTPS 连接。

public class MyHttpClient extends DefaultHttpClient {


private Resources _resources;


public MyHttpClient(Resources resources) {
_resources = resources;
}


@Override
protected ClientConnectionManager createClientConnectionManager() {
SchemeRegistry registry = new SchemeRegistry();
registry.register(new Scheme("http", PlainSocketFactory
.getSocketFactory(), 80));
if (_resources != null) {
registry.register(new Scheme("https", newSslSocketFactory(), 443));
} else {
registry.register(new Scheme("https", SSLSocketFactory
.getSocketFactory(), 443));
}
return new SingleClientConnManager(getParams(), registry);
}


private SSLSocketFactory newSslSocketFactory() {
try {
KeyStore trusted = KeyStore.getInstance("BKS");
InputStream in = _resources.openRawResource(R.raw.mystore);
try {
trusted.load(in, "pwd".toCharArray());
} finally {
in.close();
}
return new SSLSocketFactory(trusted);
} catch (Exception e) {
throw new AssertionError(e);
}
}
}

我花了很多时间试图找到这个问题的答案(我需要 Android 来查看 StartSSL 证书)。结论: Android 2.1和2.2允许您导入证书，但只能用于 WiFi 和 VPN。没有用于更新可信根证书列表的用户界面，但是讨论了添加该特性。目前还不清楚是否有可靠的解决方案来手动更新和替换 ccerts.bks 文件。

详情及连结: http://www.mcbsys.com/techblog/2010/12/android-certificates/。在这篇文章中，请看到 Android bug 11231的链接——你可能想要对这个 bug 进行投票和查询。

下面是一个替代解决方案，它实际上将您的证书添加到内置的默认证书列表中: 通过 HTTPS 信任使用 HttpClient 的所有证书

但是，它只适用于您的应用程序。不可能通过编程方式为用户设备上的所有应用程序做到这一点，因为这会带来安全风险。

我所做的使用 startssl 证书的工作非常简单

我将/system/etc/security/ccerts.bks 复制到我的 sdcard

下载 http://www.startssl.com/certs/ca.crt和 http://www.startssl.com/certs/sub.class1.server.ca.crt

转到 portecle.sourceforge.net 并直接从网页运行 portecle。

从我的 sdcard 中打开我的 ccerts.bks 文件(要求输入密码时没有输入任何内容)

在 portacle 中选择 import 并打开 sub.class1.server.ca.crt，在我的例子中，它已经有了 ca.crt，但是也许您也需要安装它。

保存密钥存储库并将其复制回/system/etc/security/ccerts.bks (我首先对该文件进行了备份，以防万一)

重新启动我的手机，现在我可以访问我的网站，使用 startssl 证书没有错误。

链接 给你的指南可能会回答最初的问题，而不需要编写自定义 SSL 连接器。

找到了一个非常详细的如何导入根证书的指南，实际上可以帮助您在不同版本的 Android 设备(以及其他设备)上安装受信任的 CA 证书。

基本上你需要:

1. 下载: 从您的手机上下载 ccerts.bks 文件。

   Adb pull/system/etc/security/cacerts.bks cacerts.bks

2. 从您希望允许的认证机构下载. crt 文件。

3. 使用 弹跳城堡供应商修改计算机上的 ccerts.bks 文件

4. 上传 ccerts.bks 文件到您的手机并重新启动。

下面是更详细的更新早期 Android 手机的步骤: 如何更新前 android-4.0设备上的 HTTPS 安全证书授权密钥库

在安卓 KitKat 之前，你必须在你的设备上安装新的证书。

从安卓 KitKat (4.0)到棉花糖(6.0) 这是可能的，也是容易的。我能够在我的非根设备上安装 Charles Web 调试代理证书，并成功地嗅探 SSL 流量。

从 http://wiki.cacert.org/FAQ/ImportRootCert中提取

在 Android 版本4.0之前，Android 版本的 Gingerbread & Froyo 只有一个只读文件(/system/etc/security/ccerts.bks) ，其中包含 Android 默认信任的所有 CA (‘ system’)证书的信任存储。系统应用程序和所有用 Android SDK 开发的应用程序都使用这种方法。使用以下说明在 Froyo 的 Android Gingerbread 上安装 CAcert 证书..。

从 Android 4.0(Android ICS/‘ Ice Cream Sandwich’、 Android 4.3‘ Jelly Bean’和 Android 4.4‘ KitKat’)开始，系统可信证书作为单独的文件位于文件夹“/system/etc/security/”中的(只读)系统分区上。但是，用户现在可以轻松地添加自己的“用户”证书，这些证书将存储在“/data/misc/keychain/certs-add”中。

系统安装的证书可以在“设置-> 安全-> 证书-> ‘系统’-”部分的 Android 设备上管理，而用户受信任的证书则在“用户”部分管理。当使用用户可信证书时，Android 将强制 Android 设备的用户实施额外的安全措施: 当使用用户提供的证书时，必须使用 PIN 码、模式锁或密码来解锁设备。

安装 CAcert 证书作为“用户信任”-证书是非常容易的。将新证书安装为“系统可信”——证书需要更多的工作(并且需要 root 访问权限) ，但它的优势在于避免了 Android 锁屏要求。

从 Android N (7.0)开始它变得更加困难了，看看这个来自 查尔斯代理网站的摘录:

<network-security-config>
<debug-overrides>
<trust-anchors>
<!-- Trust user added CAs while debuggable only -->
<certificates src="user" />
</trust-anchors>
</debug-overrides>
</network-security-config>

<?xml version="1.0" encoding="utf-8"?>
<manifest>
<application android:networkSecurityConfig="@xml/network_security_config">
</application>
</manifest>