Welche Methoden zur Implementierung von SSL-Zertifikaten werden in Android-Anwendungen verwendet?

SSL-Zertifikate in Android-Anwendungen werden auf verschiedene Weisen implementiert:

1. Verwendung des System-Zertifikatspeichers — die Anwendung vertraut den im System installierten Zertifikaten.

2. Implementierung benutzerdefinierter Zertifikate (Custom Trust Store) — die Anwendung verwendet ihren eigenen Satz vertrauenswürdiger Zertifikate, z.B. für die Arbeit mit selbstsignierten Zertifikaten.

3. Netzwerksicherheitskonfiguration — ab Android 7.0+ kann eine XML-Datei konfiguriert werden, in der festgelegt wird, welche Zertifikate vertraut werden sollen, inklusive der Möglichkeit, eigene CA hinzuzufügen oder das Vertrauen in Systemzertifikate zu deaktivieren.

4. Programmgesteuerte Zertifikatsüberprüfung — durch Code kann eine manuelle Überprüfung der Zertifikate implementiert werden, z.B. mit SSLSocketFactory oder TrustManager.

Beispiel für die Konfiguration der Network Security Configuration (res/xml/network_security_config.xml):

<network-security-config>
    <domain-config cleartextTrafficPermitted="false">
        <trust-anchors>
            <certificates src="system" />
            <certificates src="user" />
        </trust-anchors>
    </domain-config>
</network-security-config>

Dies ermöglicht eine flexible Verwaltung des Vertrauens in SSL-Zertifikate in der Anwendung.