Expo aplikazioak huts egiten du HTTPrekin Android 9n: cleartext da, ez VPNa

HTTP API arrunta deitzen duen Expo konpilazio batek huts egiten du Android 9 eta geroago. Tunela errugabea da: cleartext bandera konpilazioaren konfigurazioan doa.

Konpilazio berri bat argitaratu zenuen, VPNra pasa zinen, eta pantaila bera ez zen kargatzen hasi. Android 9 eta geroago ohikoagoa den azalpena aspergarriagoa da: plataformak HTTP arrunta ukatzen die API 28 edo goragoko helburua duten aplikazioei, eta VPNak testuinguru nahikoa aldatu zuen hori agerian uzteko. Ikusten duzun errorea HTTP bezeroaren araberakoa da, eta horregatik esaten du hain gutxitan cleartext.

Zer da huts egite hori benetan

Android 9tik aurrera plataformak cleartext blokeatzen du lehenespenez, aplikazioak 28. API maila edo handiagoa helburutzat hartzen duen unetik. Plataformak HTTP helbide arruntera egindako eskaera uzten du, pakete bakar bat ere gailutik irten aurretik. Zein errore ikusiko duzun HTTP liburutegiaren araberakoa da: batzuetan sareko huts egite orokorra, batzuetan denbora-muga, batzuetan cleartext berariaz aipatzen duen mezua. Inoiz egiten ez duena zure zerbitzarira iristea da. Androidek lehenespena eta domeinuen araberako alternatiba dokumentatzen ditu bere segurtasun konfigurazio gidan.

Gailu bereko nabigatzaile batek oraindik karga dezake orria, eta hori da gehienek galarazten duten arrastoa. Nabigatzaileak ez daude zure aplikazioaren sare segurtasun politikaren menpe.

Zergatik egozten zaio VPNari

Hiru gauza aldatzen dira normalean batera. Aplikazioak beste ostalari-izen bat ebatzi dezake VPNa konektatu ondoren, gailua berria izan daiteke konpilazio berriagoarekin, edo konpilazioa bera lehenespena aktibatzen duen helburuko API mailara mugitu daiteke. VPNa ikusgai dago eta helburuko SDK ez, beraz VPNak hartzen du txartela.

Konparatu konpilazio zaharren eta berriaren helburu mailak sare konfigurazioa ukitu aurretik. 27 edo beherago helburutzat duen aplikazioa salbuetsita dago, eta horrek azaltzen du «nire telefono zaharrean funtzionatzen du» motako txosten guztiak.

Non amaitzen da Expo bandera benetan

Expo proiektu kudeatu batean, app.json fitxategian ezarpen bat gehitzeak ez du Android manifestua editatzen, manifestua prebuild-ek eta garapen konpilazioek sortzen dutelako. Konfigurazio plugin bat da ezarpena etapa horretan idazten duena. Onartutako bidea expo-build-properties da, aplikazioaren konfigurazioan cleartext aukerarekin android azpian konfiguratuta.

{
  "plugins": [
    ["expo-build-properties", {
      "android": { "usesCleartextTraffic": true }
    }]
  ]
}

Zatiak plugin aukera soilik ezartzen du; manifestua geroago sortzen da. Exekutatu prebuild bat edo garapen bezeroaren konpilazio berri bat, eta gero, berriro probatu aurretik, aztertu sortutako AndroidManifest.xml fitxategian android:usesCleartextTraffic dagoen, JS soilik berritzeak manifestu zaharra gordetzen duelako. Egokitu pluginaren bertsioa proiektua exekutatzen den Expo SDKrekin. Plugin aukerak bertsioen artean mugitzen dira, eta beste SDK batetik kopiatutako zatia isilik ezer ez egiteko iturri fidagarria da.

Bare fluxua eta aukera estuagoa

Bare React Native-rako baliokidea android:usesCleartextTraffic da application elementuan, edo cleartext izendatutako domeinuetarako soilik onartzen duen sare segurtasun konfigurazio bat. Domeinuen araberako forma da hobetsi beharrekoa, API barnekoa onartzen duelako eta gainerako guztia HTTPSn uzten duelako. Gainera, bere salbuespen zerrenda dokumentatzen du, eta hori da berrikusle batek galdetuko duen zatia.

Bi ikuspegi horietako batek ere ez du plataformaren lehenespena aldatzen izendatu ez duzun ezeretarako.

Froga ezazu lehenik gailuaren erregistrotik

Konfigurazioa editatu aurretik, lortu huts egite zehatza. Konektatutako gailu batean adb logcat ek plataformaren cleartext ukazioa erakusten du eta hura sortu zuen osagaia izendatzen du. Ukatutako socket batek, ebazten ez den izen batek edo huts egindako TLS esku-emate batek erabat beste leku batera eramaten dute, eta cleartext gaitzeak aplikazioa alferrik ahulduko luke.

Gero, mantendu produkzioa zintzo. Cleartext onargarria da TLS eskaini ezin duen laborategiko muturreko puntu batentzat, eta programatu dezakezun denborarik laburrenean soilik. APIak TLS amaitu badezake sare pribatuaren barruan, jarri ziurtagiria gailuaren konfiantza biltegian eta utzi cleartext desgaituta, tunelak bere irteerarainoko bidea zifratzen duelako eta haratago ezer ez.

Muturreko puntuak HTTPS bidez erantzuten duenean, kendu baimena, berkonpilatu eta probatu VPNan eta Wi-Fi arruntean saio berean. Izenen ebazpena desberdina izan daiteke bi bide horien artean, eta bikoteak bakarrik esaten dizu zein den egia esaten duena.

Erlazionatutako artikuluak