Problem mit Android 6 und OpenSSL

[Ralphi]

Hallo zuammmen,

Google hat mit Android 6 auf eine andere SSL-Bibliothek (BoringSSL) gewechselt und unterstützt die von Delphi/Indy verwendeten OpenSSL-Bibliotehken nicht mehr.
Bei Android 6 (z.B. Galaxy S6/S7) kommt der Fehler "SSL-Bibltiotehk konnte nicht geladen werden".
https-Aufrufe funktionieren somit unter Android 6 nicht mehr.

Kennt jemand eine Lösung für das Problem?

Gruss
Ralph

P.S.
Habe einiges dazu unter dem Thread Android M und SSL gefunden versuche mal die dort beschriebenen Ansätze.

[Ralphi]

Habe von embarcadero den Rat bekommen besser die embarcadero-Komponenten TNetHTTPClient und TNetHTTPRequest zu verwenden weil diese immer die richtigen OS-Routinen benutzen.

Habe dann umgestellt auf diese Komponenten, jetzt funktionert es ohne Probleme auch mit Android 6.

[omp]

Ich verzweifle gerade an diesem Thema.
Für die DataSnap-Verschlüsselung ist OpenSSL nötig. Habe die LIBs von einem älteren Android übernommen und das neue APK vorhin bei google play eingestellt.
Wurde jetzt abgelehnt mit Verweis auf https://support.google.com/faqs/answer/6324910

[Thomas Horstmann]

Am besten die aktuelle OpenSSL Version für Android selber erzeugen. Am einfachsten geht das mit Ubuntu und dem Andriod SDK/NDK:
https://wiki.openssl.org/index.php/Android

[omp]

Noch zur Info. Ich habe die Bibliotheken von einem neueren Android-Gerät geladen.
Um die Version zu ermitteln, kann man die libssl.so einfach im Texteditor öffnen und z.B. nach "1." suchen.
Man findet dann soetwas wie "... OpenSSL 1.0.1k 8 Jan 2015 external ...".
Meine App wurde mit den neuen Dateien auf google play akzeptiert.
Gruß, Harald

[omp]

Das Thema nimmt kein Ende. Meine APK mit OpenSSL 1.0.1k wurde bei Google Play akzeptiert.
Heute sehe ich aber eine Sicherheitswarnung "Deine App verwendet eine Version von OpenSSL, die eine Sicherheitslücke aufweist." Es wird jetzt OpenSSL "1.02f/1.01r or higher" verlangt. Die App wird ab dem 7.7.2016 blockiert.
Ich stoße momentan nur auf Probleme.

[Thomas Horstmann]

Das wird wahrscheinlich munter so weiter gehen. Bei jeder "kritischen" Lücke gibt es eine neue OpenSSL Version. Und da Android "sicher" sein soll (ob es das ist, ist eine andere Frage), wird Google die App-Entwickler drängen aktuelle SSL-Versionen einzusetzen. Von daher ist es besser die Libs (libssl.so, libcrypto.so, libssl.a und libcrypto.a) selbst zu erzeugen. Dann kann man zeitnah reagieren und ist nicht auf externe Quellen oder Smartphones angewiesen.

Ich hatte die gleiche Warnung. Die besagte (nach meine Erinnerung), das nur neue Apps/APKs mit den alter Libs blockiert werden.