Quais CAs raiz confiáveis ​​estão incluídas no Android por padrão?

Não parece haver um recurso central do Android que lista as CAs raiz confiáveis ​​incluídas no sistema operacional ou no navegador padrão ( pergunta relacionada ao SO ); portanto, como posso descobrir quais estão incluídos no meu telefone por padrão?

Com o número de certificados raiz que foram comprometidos e o número de certificados SSL fraudulentos criados nos últimos dois anos, esse é um problema para quem confia no SSL para segurança, caso contrário, você não saberá se deseja remover quaisquer CAs confiáveis .

(não listando a versão do fabricante ou do sistema operacional, pois estou procurando um recurso ou solução genérica que deve ser aplicável a qualquer dispositivo)

No ICS ou posterior, você pode verificar isso nas suas configurações . Vá para Settings->Security->Trusted Credentialsver uma lista de todas as suas CAs confiáveis, separadas por terem sido incluídas no sistema ou instaladas pelo usuário.

As versões anteriores do Android mantêm seus certificados /system/etc/securityem um pacote criptografado chamado cacerts.bksque você pode extrair usando o Bouncy Castle e o keytoolprograma. O resumo é primeiro puxar o pacote usando adb(você precisa de um shell raiz) e, em seguida, você pode usar o Bouncy Castle para listar o conteúdo do pacote:

shell~$ adb pull /system/etc/security/cacerts.bks`
shell~$ keytool -keystore cacerts.bks -storetype BKS -provider org.bouncycastle.jce.provider.BouncyCastleProvider -storepass changeit -v -list

Há também pelo menos um aplicativo que você pode tentar se preferir não usar o shell: CACertMan (requer raiz para modificar a lista, mas deve permitir que você visualize a lista sem raiz). Acredito que isso ocorreu devido ao fiasco do DigiNotar, pois não havia maneiras particularmente fáceis para um usuário revogar o certificado na época. Como os certificados são armazenados de maneira diferente no ICS e posteriormente, esse aplicativo funcionará apenas em dispositivos executando o Gingerbread (ou anterior), mas é obsoleto no ICS / JB de qualquer maneira.