보안 알림 애플리케이션에 WebViewClient.onReceivedSslError 핸들러의 안전하지 않은 구현이 포함되어 있습니다. 자세한 내용은 경고 페이지를 참조하세요.

Question

보안 알림

애플리케이션에 WebViewClient.onReceivedSslError 핸들러가 안전하지 않은 방식으로 구현되었습니다. 특히 해당 구현은 모든 SSL 인증서 확인 오류를 무시하여 앱을 중개인 공격에 취약하게 만듭니다. 공격자는 영향을 받은 WebView의 콘텐츠를 변경하고, 전송된 데이터(예: 로그인 사용자 인증 정보)를 읽고, 자바스크립트를 사용해 앱 내부에서 코드를 실행할 수 있습니다.

SSL 인증서를 제대로 확인하려면 서버에서 제공하는 인증서가 요구사항을 충족할 때마다 코드를 변경하여 SslErrorHandler.proceed()을(를) 호출하고 그렇지 않으면 SslErrorHandler.cancel()을(를) 호출합니다. 대상 앱 및 클래스를 포함하는 이메일 알림이 개발자 계정 주소로 전송됩니다.

SSL 오류 핸들러에 대한 자세한 내용은 개발자 도움말 센터의 도움말을 참조하세요. 기술적으로 궁금한 점이 더 있는 경우https://www.stackoverflow.com/questions에 질문을 게시하고 'android-security' 및 'SslErrorHandler' 태그를 사용하세요.

제대로 업그레이드되었는지 확인하려면 업데이트된 버전을 개발자 콘솔에 업로드하고 5시간 후에 다시 확인하세요. 앱이 제대로 업그레이드되지 않은 경우 경고 메시지가 표시됩니다.

이러한 특정 문제가 WebView SSL을 사용하는 모든 앱에 영향을 미치지 않을 수도 있지만 모든 보안 패치를 최신 상태로 유지하는 것이 가장 좋습니다. 사용자를 보안 위험에 노출시키는 취약점을 보유하고 있는 앱은 콘텐츠 정책 및 개발자 배포 계약의 섹션 4.4를 위반하는위험한 제품으로 간주될 수 있습니다.

게시된 모든 앱이 개발자 배포 계약 및 콘텐츠 정책을 준수하는지 확인하시기 바랍니다. 궁금한 점이나 우려되는 사항이 있으면 Google Play 개발자 도움말 센터를 통해 지원팀에 문의해 주세요.

APK 페이지로 이동

 

 

안녕하세요. 앱 업데이트 이후 해당 보안 알림이 떳습니다.

 

어떻게 해결을 해야할지 모르겠네요.

 

그리고 만약 이 알림을 무시하고 얼마나 유지하면 구글 측에서

앱에 대한 제재를 하는지 혹시 사례 아시는분 있으 신가요?

Answer 1

mWebView.setWebViewClient(new WebViewClient()
        {
            @Override
            public void onReceivedSslError(WebView view, SslErrorHandler handler, SslError error) {
                handler.proceed(); // Ignore SSL certificate errors
            }
        });

 

Comments

이렇게 해도 똑같은 메일이 옵니다.