华为手机如何安装安卓CA证书？

Question

如何在华为手机上正确安装并信任安卓CA证书？部分用户在导入企业或自签名CA证书后，发现应用仍提示SSL证书不受信任。问题常出现在EMUI或HarmonyOS的证书管理机制中：系统将用户安装的CA证书默认置于“用户”标签下，而某些Wi-Fi或应用（如浏览器、企业APP）仅信任“系统”证书。此外，Android 7.0及以上版本不再信任用户CA证书用于系统网络请求，导致抓包调试（如使用Charles或Fiddler）失败。需明确安装路径、证书用途及系统限制，如何解决此类兼容性问题？

Answer 1

如何在华为手机上正确安装并信任安卓CA证书？深入解析EMUI与HarmonyOS的证书管理机制

1. 背景与问题引入：为何用户CA证书不被信任？

在企业级移动设备管理（MDM）或安全调试场景中，用户常需导入自签名或私有CA签发的SSL证书。然而，在华为设备运行EMUI 8+或HarmonyOS系统时，即使成功导入证书，仍可能出现“SSL证书不受信任”的错误提示。

根本原因在于Android 7.0（Nougat）起实施的安全策略变更：系统默认不再将用户安装的CA证书用于验证系统级网络请求（如WebView、原生应用HTTPS连接），仅限“用户”标签下的证书用于Wi-Fi EAP认证等特定用途。

华为在此基础上进一步强化了证书隔离机制，导致Charles、Fiddler等抓包工具无法解密HTTPS流量，企业内部服务也无法通过自签名证书建立可信链。

2. 安卓CA证书分类与存储路径详解

Android系统将CA证书分为两类：

• 系统证书（System CA Store）：预置于/system/etc/security/cacerts/目录，由操作系统维护，具有最高信任等级。
• 用户证书（User CA Store）：存放在/data/misc/user/0/cacerts_added/，通过设置界面手动导入，权限受限。

从Android 7.0开始，应用可通过android:networkSecurityConfig显式声明是否信任用户CA证书。若未配置，则默认忽略用户证书。

证书类型	存储位置	信任范围	修改方式
系统CA证书	/system/etc/security/cacerts/	全系统（含App、浏览器）	需root或系统签名
用户CA证书	/data/misc/user/0/cacerts_added/	有限支持（如Wi-Fi EAP）	用户手动导入

3. 华为设备特有行为分析：EMUI/HarmonyOS的证书策略

华为对标准AOSP进行了深度定制，其证书管理策略表现出以下特征：

1. 用户导入的CA证书自动归类至“用户”标签，无法直接迁移至“系统”区。
2. 部分预装应用（如华为浏览器、企业邮箱客户端）强制使用系统证书链校验。
3. Wi-Fi企业网络（802.1X/EAP-TLS）可指定用户证书进行身份认证，但不扩展至通用HTTPS信任。
4. 即使启用“允许未知来源”或“开发者选项”，也无法绕过系统级证书限制。

// 示例：network_security_config.xml 配置文件
<?xml version="1.0" encoding="utf-8"?>
<network-security-config>
    <domain-config>
        <domain includeSubdomains="true">internal.example.com</domain>
        <trust-anchors>
            <certificates src="system" />
            <certificates src="user" />  
        </trust-anchors>
    </domain-config>
</network-security-config>
    

4. 解决方案路径：从应用层到系统级的信任构建

根据目标场景不同，可采用以下三种层级的解决方案：

4.1 应用级适配：通过networkSecurityConfig启用用户CA

适用于企业自有APP开发场景。在AndroidManifest.xml中引用安全配置：

<application
    android:networkSecurityConfig="@xml/network_security_config"
    ... >

4.2 设备级部署：使用MDM平台推送系统级证书（推荐企业环境）

通过华为HiSuite、EMUI企业设备管理API或第三方MDM（如AirWatch、Microsoft Intune）以“设备所有者”模式安装证书，实现系统级信任。

流程如下：

graph TD
            A[准备PEM格式CA证书] --> B(通过MDM平台上传)
            B --> C{设备注册并绑定策略}
            C --> D[证书以系统权限部署]
            D --> E[所有应用均可信任该CA]

4.3 技术突破：root设备后手动迁移证书至系统存储（仅限测试）

对于调试环境，可通过adb root操作将用户证书复制到系统证书目录：

# 前提：已获取root权限
adb root
adb remount
cp /data/misc/user/0/cacerts_added/*.0 /system/etc/security/cacerts/
chmod 644 /system/etc/security/cacerts/*.0
reboot

注意：此方法违反厂商保修条款，且可能被系统更新清除。

5. 抓包调试实战：Fiddler/Charles在华为手机上的兼容性处理

常见问题表现为：手机代理设置正确，但HTTPS请求仍显示“connection reset”。

解决步骤：

1. 确保Fiddler根证书导出为.cer或.pem格式（Base64编码）。
2. 在手机“设置 > Wi-Fi > 高级 > 代理”中配置HTTP代理。
3. 进入“设置 > 安全 > 更多安全设置 > 从存储设备安装证书”，选择证书文件。
4. 命名证书（建议包含“Fiddler”字样），类型选择“VPN和应用”。
5. 验证证书出现在“已安装证书 > 用户”标签下。
6. 针对目标APP检查其是否支持用户CA（查阅文档或反编译AndroidManifest.xml）。
7. 若APP仍拒绝连接，需联系开发者更新network-security-config。
8. 替代方案：使用支持透明代理的中间设备（如路由器级MITM）。

6. 最佳实践建议与未来趋势

随着Android逐步收紧用户证书权限（Android 10+甚至限制用户证书用于Wi-Fi），长期解决方案应聚焦于：

• 推动企业服务采用公共可信CA（如Let's Encrypt）。
• 在内网部署OCSP/CRL服务以增强私有PKI可信度。
• 利用Android Enterprise API实现零接触部署系统级证书。
• 开发阶段使用调试构建变体启用宽松网络策略。

华为正推进HarmonyOS分布式安全架构，未来或将提供更细粒度的证书策略控制接口，值得持续关注官方安全白皮书更新。