자유롭게 질의 및 응답을 할 수 있는 게시판입니다. 개발자 여러분의 답변이 큰 도움이 됩니다.
- 제품설치/등록 오류 문의: 설치/등록 Q&A 이용 (제품 구매 고객 한정)
Firemonkey 구글 플레이스토어에 앱 등록시 openssl관련 등록거부 문제
2017.02.20 14:24
구글 플레이 스토어에 앱을 등록하려고 하는데 openssl관련하여 등록거부되었습니다.
델파이 시애틀로
단순히 REST관련 컴포넌트 및 indy TCPClient를 이용하였는데
기본 컴포넌트를 사용했을때 openssl관련 등록 거부되는 경우는 어떻게 해야 할까요?
아래는 구글 측에서 온 거부 메일입니다.
Google Play 개발자님, 안녕하세요.
급여박사(관리자용)(패키지 이름: com.embarcadero.DrPayMobileBoss)이(가) 악의적 행위 또는 사용자 데이터 정책을 위반하여 앱 제출이 거부되었습니다. 기존 앱의 업데이트를 제출했는데 거부된 경우, 이전에 게시된 버전은 Google Play에서 계속 사용할 수 있습니다.
앱에서 사용자의 보안을 취약하게 하는 요소가 포함된 소프트웨어를 사용하거나, 적절한 고지 없이 사용자 데이터를 수집하도록 허용하는 소프트웨어를 사용합니다.
다음은 최근에 제출한 앱에서 발견된 오류 목록 및 해당 APK 버전입니다. 최대한 빨리 앱을 업데이트한 후 업데이트된 APK 버전 번호를 높이세요.
취약성
APK 버전
OpenSSL
The vulnerabilities were addressed in OpenSSL 1.0.2f/1.0.1r. To confirm your OpenSSL version, you can do a grep search for:
\$ unzip -p YourApp.apk | strings | grep "OpenSSL"
You can find more information and next steps in this Google Help Center article.
6
댓글 8
-
얄리
2017.02.20 16:29
-
김태윤
2017.02.21 12:21
답변 감사드려요.
별도로 ssl을 다운 받지는 않았는데 혹시 Indy컴포넌트중 TIdTCPClient를 사용했는데 시애틀에는 TIdTCPClient에 기본적으로 ssl을 사용하는지 궁금합니다.
단순하게 REST컴포넌트를 사용한 다른 앱은 업로드가 되었는데 IdTCPClient를 추가적으로 사용한 앱이 업로드가 안되어서 Indy컴포넌트에 기본적으로 ssl을 사용하는 것인지 의심이 갑니다.
또는 델파이 시애틀의 기본 컴포넌트들 중에 위의 사유처럼 openssl문제가 발생할 소지가 있는것이 있을까요?
같은 서버에 REST를 사용하는 다른앱은 문제가 없고 REST이외에 서버에 python3로 만들어진 소켓서버에 접속하는 IdTCPClient컴포넌트(기본컴포넌트)를 추가로 사용하니까 openssl문제가 발생하네요.
-
인디(Indy) 계열 컴포넌트는 SSL을 기본 지원하지 않습니다.
(REST 클라이언트와 NetHTTP등의 컴포넌트는 기본 지원합니다.)
아래 링크를 참조하셔서 "TIdSSLIOHandlerSocketOpenSSL" 컴포넌트 추가해 지원하시기 바랍니다.
자세한 내용은 아래 링크를 참고하세요.
http://docwiki.embarcadero.com/RADStudio/Berlin/en/Securing_Indy_Network_Connections
-
김태윤
2017.02.23 14:00
험프리님 항상 답변 감사합니다.
처음 의심했던 것이 IdTCPClient사용으로 인한 문제인것 같았는데 어제와 오늘 경험으로 다른 문제인듯합니다.
프로젝트 마감이 얼마 남지않아 openssl관련 문제를 더 찾아 볼수 없어 새 프로젝트를 생성해서 일일이 소스를 하나씩 옮기고 업로드 해보고를 반복하여 어느 부분에서 해당 문제가 발생하는지 확인을 하던중 어제 전체 소스를 새 프로젝트를 전부옮겨서(IdTCPClient관련 포함) 업로드에 성공했습니다. 새 프로젝트의 패키지 명만 바뀌었을뿐 전에 업로드 거부된 프로젝트와 완전히 동일하게 만들었는데 업로드가 성공하여 의아하기는 했지만 업로드 성공했기 때문에 불필요해서 옮기지 않은 소스중에 openssl관련 문제가 발생했다고 의심했습니다.
그런데 오늘 일부 기능을 수정하기위해 단순히 Rectangle과 Label추가후 이미 사용하고 있던 REST컴포넌트로 서버에서 데이터를 받아오는 부분을 추가 했는데 전과 동일한 openssl관련 이슈로 업로드 거부되었습니다. 분명 서버와 교신을 위한 별도 컴포넌트 사용없이 기존에 사용하던 REST컴포넌트를 이용한 부분만 추가 되었는데 말이죠. 현재 구글 개발자 고객센터 이메일로 해당 문제를 보낸 상태인데 원인 파악이 안됩니다.
전에 애플 스토어에 올릴때도 네이티브 언어가 아니라 원인 파악이 어려우니 데브기어쪽으로 문의하라고 했는데 이번에도 비슷한 상황이 될까 걱정됩니다.
-
김태윤
2017.02.23 14:21
해당 apk파일을 리눅스서버에 올려서
# unzip -p YourApp.apk | strings | grep "OpenSSL"
명령으로 openssl관련 이슈를 확인한 내용을 첨부합니다.
-
김태윤
2017.02.23 14:43
구글에 위에 첨부한 log.txt파일의 내용중
Error -- OpenSSL initialization failed! - Out of Memory 로 검색을 해보니
https://forums.embarcadero.com/message.jspa?messageID=851666 의 게시글이 검색되었습니다.
그내용중 로컬DB사용을 위해 InterBase를 이용했는데 짧은 영어 실력으로나마 보니 RAD Studio\17.0\lib\android\release\libibtogo.a에 관련된 문제인듯 합니다.
또한 이 문제를 해결할 수있는 핫픽스가 있는듯 한데 저는 델파이 시애틀을 사용하고 있으며 구매시 서브스크립션을 구매하지 않았습니다.
제가 http://cc.embarcadero.com/item/30630 에 링크된 핫 픽스를 받아 설치가 가능한지 궁금합니다.
-
다음과 같은 문구가 있습니다.
"Available to registered users of InterBase XE7 and RAD Studio/Delphi/C++Builder 10.1 Berlin for editions containing Android support"
해당 핫픽스가 시애틀은 지원하지 않아 적용이 어려울 것으로 보입니다.
(도움을 드리지 못해 죄송합니다.)
-
김태윤
2017.02.27 17:26
험프리님 언제나 답변 감사드립니다.
위에 말씀하신 문구는 시애틀에서 지원 하지 않는다는 의미이기는 한데
To download this, you must have registered [one of]: 에 Delphi 10 Seattle Enterprise Named User 가 있는데 불가능할까요?
Firemonkey 구글 플레이스토어에 앱 등록시 openssl관련 등록거부 문제
2017.02.20 14:24
구글 플레이 스토어에 앱을 등록하려고 하는데 openssl관련하여 등록거부되었습니다.
델파이 시애틀로
단순히 REST관련 컴포넌트 및 indy TCPClient를 이용하였는데
기본 컴포넌트를 사용했을때 openssl관련 등록 거부되는 경우는 어떻게 해야 할까요?
아래는 구글 측에서 온 거부 메일입니다.
Google Play 개발자님, 안녕하세요.
급여박사(관리자용)(패키지 이름: com.embarcadero.DrPayMobileBoss)이(가) 악의적 행위 또는 사용자 데이터 정책을 위반하여 앱 제출이 거부되었습니다. 기존 앱의 업데이트를 제출했는데 거부된 경우, 이전에 게시된 버전은 Google Play에서 계속 사용할 수 있습니다.
앱에서 사용자의 보안을 취약하게 하는 요소가 포함된 소프트웨어를 사용하거나, 적절한 고지 없이 사용자 데이터를 수집하도록 허용하는 소프트웨어를 사용합니다.
다음은 최근에 제출한 앱에서 발견된 오류 목록 및 해당 APK 버전입니다. 최대한 빨리 앱을 업데이트한 후 업데이트된 APK 버전 번호를 높이세요.
| 취약성 | APK 버전 |
| OpenSSL
The vulnerabilities were addressed in OpenSSL 1.0.2f/1.0.1r. To confirm your OpenSSL version, you can do a grep search for: \$ unzip -p YourApp.apk | strings | grep "OpenSSL" You can find more information and next steps in this Google Help Center article. |
6 |
댓글 8
-
얄리
2017.02.20 16:29
-
김태윤
2017.02.21 12:21
답변 감사드려요.
별도로 ssl을 다운 받지는 않았는데 혹시 Indy컴포넌트중 TIdTCPClient를 사용했는데 시애틀에는 TIdTCPClient에 기본적으로 ssl을 사용하는지 궁금합니다.
단순하게 REST컴포넌트를 사용한 다른 앱은 업로드가 되었는데 IdTCPClient를 추가적으로 사용한 앱이 업로드가 안되어서 Indy컴포넌트에 기본적으로 ssl을 사용하는 것인지 의심이 갑니다.
또는 델파이 시애틀의 기본 컴포넌트들 중에 위의 사유처럼 openssl문제가 발생할 소지가 있는것이 있을까요?
같은 서버에 REST를 사용하는 다른앱은 문제가 없고 REST이외에 서버에 python3로 만들어진 소켓서버에 접속하는 IdTCPClient컴포넌트(기본컴포넌트)를 추가로 사용하니까 openssl문제가 발생하네요.
-
인디(Indy) 계열 컴포넌트는 SSL을 기본 지원하지 않습니다.
(REST 클라이언트와 NetHTTP등의 컴포넌트는 기본 지원합니다.)
아래 링크를 참조하셔서 "TIdSSLIOHandlerSocketOpenSSL" 컴포넌트 추가해 지원하시기 바랍니다.
자세한 내용은 아래 링크를 참고하세요.
http://docwiki.embarcadero.com/RADStudio/Berlin/en/Securing_Indy_Network_Connections
-
김태윤
2017.02.23 14:00
험프리님 항상 답변 감사합니다.
처음 의심했던 것이 IdTCPClient사용으로 인한 문제인것 같았는데 어제와 오늘 경험으로 다른 문제인듯합니다.
프로젝트 마감이 얼마 남지않아 openssl관련 문제를 더 찾아 볼수 없어 새 프로젝트를 생성해서 일일이 소스를 하나씩 옮기고 업로드 해보고를 반복하여 어느 부분에서 해당 문제가 발생하는지 확인을 하던중 어제 전체 소스를 새 프로젝트를 전부옮겨서(IdTCPClient관련 포함) 업로드에 성공했습니다. 새 프로젝트의 패키지 명만 바뀌었을뿐 전에 업로드 거부된 프로젝트와 완전히 동일하게 만들었는데 업로드가 성공하여 의아하기는 했지만 업로드 성공했기 때문에 불필요해서 옮기지 않은 소스중에 openssl관련 문제가 발생했다고 의심했습니다.
그런데 오늘 일부 기능을 수정하기위해 단순히 Rectangle과 Label추가후 이미 사용하고 있던 REST컴포넌트로 서버에서 데이터를 받아오는 부분을 추가 했는데 전과 동일한 openssl관련 이슈로 업로드 거부되었습니다. 분명 서버와 교신을 위한 별도 컴포넌트 사용없이 기존에 사용하던 REST컴포넌트를 이용한 부분만 추가 되었는데 말이죠. 현재 구글 개발자 고객센터 이메일로 해당 문제를 보낸 상태인데 원인 파악이 안됩니다.
전에 애플 스토어에 올릴때도 네이티브 언어가 아니라 원인 파악이 어려우니 데브기어쪽으로 문의하라고 했는데 이번에도 비슷한 상황이 될까 걱정됩니다.
-
김태윤
2017.02.23 14:21
해당 apk파일을 리눅스서버에 올려서
# unzip -p YourApp.apk | strings | grep "OpenSSL"
명령으로 openssl관련 이슈를 확인한 내용을 첨부합니다.
-
김태윤
2017.02.23 14:43
구글에 위에 첨부한 log.txt파일의 내용중
Error -- OpenSSL initialization failed! - Out of Memory 로 검색을 해보니
https://forums.embarcadero.com/message.jspa?messageID=851666 의 게시글이 검색되었습니다.
그내용중 로컬DB사용을 위해 InterBase를 이용했는데 짧은 영어 실력으로나마 보니 RAD Studio\17.0\lib\android\release\libibtogo.a에 관련된 문제인듯 합니다.
또한 이 문제를 해결할 수있는 핫픽스가 있는듯 한데 저는 델파이 시애틀을 사용하고 있으며 구매시 서브스크립션을 구매하지 않았습니다.
제가 http://cc.embarcadero.com/item/30630 에 링크된 핫 픽스를 받아 설치가 가능한지 궁금합니다.
-
다음과 같은 문구가 있습니다.
"Available to registered users of InterBase XE7 and RAD Studio/Delphi/C++Builder 10.1 Berlin for editions containing Android support"
해당 핫픽스가 시애틀은 지원하지 않아 적용이 어려울 것으로 보입니다.
(도움을 드리지 못해 죄송합니다.)
-
김태윤
2017.02.27 17:26
험프리님 언제나 답변 감사드립니다.
위에 말씀하신 문구는 시애틀에서 지원 하지 않는다는 의미이기는 한데
To download this, you must have registered [one of]: 에 Delphi 10 Seattle Enterprise Named User 가 있는데 불가능할까요?
이건 델파이 문제가 아니라 openssl 문제입니다.
델파이에서 ssl을 사용하기 위해 openssl을 다운받아 사용하신 것 같은데요
openssl에서 보안상 문제점이 발견되어 안드로이드에서 해당 openssl을 사용한 앱을 등록 거부하는 정책이구요
openssl 다른 버전을 사용해 보시거나 다른 ssl 컴포넌트를 사용하시기 바랍니다.