安卓如何信任用户手动安装的CA证书？

Question

当用户手动安装自定义CA证书后，Android应用为何仍提示SSL证书不受信任？常见原因包括：系统未将用户安装的CA证书默认应用于所有应用（尤其targetSdkVersion ≥ 24的应用需显式配置网络安全配置），或证书未正确安装至“受信任的凭据”中的“用户”标签页。此外，部分应用使用证书绑定（Certificate Pinning），会忽略系统证书 store 的变更。如何确保手动安装的CA被应用正确信任？

Answer 1

一、Android应用为何在手动安装自定义CA证书后仍提示SSL证书不受信任？

在企业内网调试、HTTPS抓包（如使用Charles或Fiddler）或部署私有PKI体系时，开发者常需手动安装自定义CA证书。然而，即便用户已成功将CA证书安装至设备，部分Android应用仍会报出“SSL证书不受信任”错误。这一现象涉及Android安全模型的演进、应用目标SDK版本的变更以及应用层安全机制的增强。

1.1 基础原因：用户CA证书未被系统默认信任

• Android区分“系统CA”和“用户CA”：预置在系统镜像中的CA属于“系统凭据”，而用户手动安装的CA属于“用户凭据”。
• 从Android 7.0（API 24）起，targetSdkVersion ≥ 24 的应用默认不再信任用户安装的CA证书，除非显式配置允许。
• 这意味着即使证书出现在“设置 > 安全 > 受信任的凭据 > 用户”中，应用也可能忽略它。

1.2 技术演进背景：网络安全配置（Network Security Config）

为提升应用安全性，Google引入了网络安全配置机制，允许开发者精细控制应用的TLS连接行为。该机制通过XML文件定义信任策略。

<network-security-config>
    <domain-config>
        <domain includeSubdomains="true">example.com</domain>
        <trust-anchors>
            <certificates src="system" />
            <certificates src="user" />  
        </trust-anchors>
    </domain-config>
</network-security-config>

若未在AndroidManifest.xml中引用此配置，或未包含src="user"，则用户CA不会被纳入信任链。

2.1 深层分析：证书安装路径与验证流程

步骤	操作	常见问题
1	导出CA证书（PEM/CER格式）	格式不兼容（如PFX未提取公钥）
2	通过“设置 > 安装证书”导入	误选“Wi-Fi证书”而非“VPN和应用”
3	确认证书出现在“用户”标签页	仅显示在“系统”或未显示
4	应用发起HTTPS请求	证书链验证失败

2.2 验证方法：检查证书是否生效

1. 进入“设置 > 安全 > 受信任的凭据 > 用户”，确认CA名称存在。
2. 使用adb shell查看证书存储：
   su
cd /data/misc/user/0/cacerts
ls -l —— 应能看到用户证书的哈希文件
3. 使用OkHttp等库的日志输出TLS握手过程，观察是否尝试验证用户CA。

3.1 核心障碍：证书绑定（Certificate Pinning）

许多金融、社交类应用为防止中间人攻击，采用证书绑定技术，即硬编码期望的证书指纹（SHA-256）或公钥。

// 示例：OkHttp CertificatePinner
new CertificatePinner.Builder()
    .add("api.bank.com", "sha256/AAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAA=")
    .build();

当启用证书绑定时，即使系统信任该CA，TLS握手也会因指纹不匹配而失败。此类应用通常需要：

• 反编译修改pinned证书列表（合规性风险高）
• 使用Xposed模块（如JustTrustMe）绕过校验（需root）
• 联系开发者提供测试构建版本

3.2 流程图：完整诊断与解决路径

graph TD
            A[用户安装CA证书] --> B{证书是否在“用户”凭据中?}
            B -- 否 --> C[重新安装, 选择“VPN和应用”]
            B -- 是 --> D{应用 targetSdkVersion >= 24?}
            D -- 否 --> E[应自动信任]
            D -- 是 --> F{应用是否配置 networkSecurityConfig?}
            F -- 否 --> G[添加配置并包含 user CA]
            F -- 是 --> H{是否启用 Certificate Pinning?}
            H -- 是 --> I[需绕过或使用测试版]
            H -- 否 --> J[应正常工作]
            E --> K[排查其他网络问题]
            G --> J
            I --> K

4.1 解决方案汇总

问题类型	解决方案	适用场景
CA未正确安装	重新导入，选择“VPN和应用”	所有Android版本
targetSdk ≥ 24 未配置	添加network-security-config并包含user	开发/调试环境
证书绑定	使用Xposed模块或定制APK	安全测试、逆向分析
系统限制（如Work Profile）	在工作资料中单独安装CA	企业MDM环境
证书链不完整	确保中间CA也受信任	私有CA层级结构

4.2 开发者最佳实践

• 在调试构建中动态禁用证书绑定（通过BuildConfig.DEBUG判断）。
• 提供可配置的网络安全策略，便于测试环境适配。
• 记录证书安装指南，明确告知用户需在系统设置中安装CA。
• 使用Conscrypt或OpenSSL提供更灵活的TrustManager定制能力。
• 避免在生产环境中完全禁用SSL验证，应使用条件化信任。

5.1 未来趋势与建议

随着Android强化安全边界（如Scoped Storage、Private Compute Core），用户CA的信任将进一步受限。建议企业级应用考虑：

• 通过Device Owner或Profile Owner方式批量部署CA证书。
• 使用专用证书管理服务（如Intune、Workspace ONE）进行集中分发。
• 在应用内集成轻量级TrustManager，支持导入企业根证书。