วิธีใช้ NSURLConnection เพื่อเชื่อมต่อกับ SSL สำหรับใบรับรองที่ไม่น่าเชื่อถือ

ฉันมีรหัสง่าย ๆ ต่อไปนี้เพื่อเชื่อมต่อกับเว็บเพจ SSL

NSMutableURLRequest *urlRequest=[NSMutableURLRequest requestWithURL:url];
[ NSURLConnection sendSynchronousRequest: urlRequest returningResponse: nil error: &error ];

ยกเว้นจะให้ข้อผิดพลาดหากใบรับรองเป็นแบบเซ็นชื่อด้วยตนเองError Domain=NSURLErrorDomain Code=-1202 UserInfo=0xd29930 "untrusted server certificate".มีวิธีตั้งค่าให้ยอมรับการเชื่อมต่อหรือไม่ (เช่นเดียวกับในเบราว์เซอร์ที่คุณสามารถกดยอมรับได้) หรือวิธีเลี่ยงผ่านได้หรือไม่

มี API ที่รองรับสำหรับการทำสิ่งนี้ให้สำเร็จ! เพิ่มสิ่งนี้ลงในNSURLConnectionผู้รับมอบสิทธิ์ของคุณ:

- (BOOL)connection:(NSURLConnection *)connection canAuthenticateAgainstProtectionSpace:(NSURLProtectionSpace *)protectionSpace {
  return [protectionSpace.authenticationMethod isEqualToString:NSURLAuthenticationMethodServerTrust];
}

- (void)connection:(NSURLConnection *)connection didReceiveAuthenticationChallenge:(NSURLAuthenticationChallenge *)challenge {
  if ([challenge.protectionSpace.authenticationMethod isEqualToString:NSURLAuthenticationMethodServerTrust])
    if ([trustedHosts containsObject:challenge.protectionSpace.host])
      [challenge.sender useCredential:[NSURLCredential credentialForTrust:challenge.protectionSpace.serverTrust] forAuthenticationChallenge:challenge];

  [challenge.sender continueWithoutCredentialForAuthenticationChallenge:challenge];
}

โปรดทราบว่าconnection:didReceiveAuthenticationChallenge:สามารถส่งข้อความถึง challeng.sender (มาก) ในภายหลังหลังจากนำเสนอกล่องโต้ตอบให้กับผู้ใช้หากจำเป็นเป็นต้น

หากคุณไม่เต็มใจ (หรือไม่) เพื่อใช้ API ส่วนตัวมีโอเพนซอร์ส (ใบอนุญาต BSD) ห้องสมุดเรียกASIHTTPRequestCFNetwork APIsที่ให้ห่อหุ้มรอบระดับที่ต่ำกว่า พวกเขาเพิ่งเปิดตัวความสามารถในการอนุญาตให้HTTPS connectionsใช้ใบรับรองที่ลงนามด้วยตนเองหรือไม่น่าเชื่อถือกับ-setValidatesSecureCertificate:API หากคุณไม่ต้องการดึงทั้งไลบรารีคุณสามารถใช้แหล่งที่มาเป็นข้อมูลอ้างอิงสำหรับการใช้งานฟังก์ชั่นเดียวกันได้ด้วยตนเอง

ตามหลักการแล้วควรมีสองสถานการณ์เท่านั้นเมื่อแอปพลิเคชัน iOS จะต้องยอมรับใบรับรองที่ไม่น่าเชื่อถือ

สถานการณ์สมมติ A: คุณเชื่อมต่อกับสภาพแวดล้อมการทดสอบที่ใช้ใบรับรองแบบลงนามด้วยตนเอง

สถานการณ์ B: คุณเป็นทราฟHTTPSฟิกที่รับส่งข้อมูลโดยใช้MITM Proxy like Burp Suite, Fiddler, OWASP ZAP, etc.The Proxies จะส่งคืนใบรับรองที่ลงนามโดย CA ที่ลงชื่อด้วยตนเองเพื่อให้พร็อกซีสามารถรับHTTPSปริมาณข้อมูลได้

เจ้าภาพการผลิตไม่ควรใช้ใบรับรองยกเลิกที่เชื่อถือได้สำหรับเหตุผลที่ชัดเจน

หากคุณต้องการให้เครื่องจำลอง iOS ยอมรับใบรับรองที่ไม่น่าเชื่อถือสำหรับการทดสอบขอแนะนำอย่างยิ่งว่าคุณไม่ต้องเปลี่ยนตรรกะแอปพลิเคชันเพื่อปิดใช้งานการตรวจสอบความถูกต้องของใบรับรองที่จัดทำโดยNSURLConnectionAPIs หากแอปพลิเคชันเผยแพร่สู่สาธารณะโดยไม่ลบตรรกะนี้มันจะไวต่อการโจมตีจากคนกลาง

วิธีที่แนะนำให้ยอมรับใบรับรองที่ไม่น่าเชื่อถือสำหรับวัตถุประสงค์ในการทดสอบคือการนำเข้าใบรับรอง Certificate Authority (CA) ซึ่งลงนามใบรับรองไปยัง iOS Simulator หรืออุปกรณ์ iOS ของคุณ ฉันเขียนโพสต์บล็อกสั้น ๆ ซึ่งแสดงให้เห็นถึงวิธีการทำสิ่งนี้ซึ่ง iOS Simulator ที่:

การยอมรับใบรับรองที่ไม่น่าเชื่อถือโดยใช้เครื่องมือจำลอง iOS

NSURLRequestมีวิธีการส่วนตัวที่เรียกว่าsetAllowsAnyHTTPSCertificate:forHost:ซึ่งจะทำสิ่งที่คุณต้องการ คุณสามารถกำหนดallowsAnyHTTPSCertificateForHost:วิธีการNSURLRequestผ่านหมวดหมู่และตั้งค่าให้ส่งคืนYESสำหรับโฮสต์ที่คุณต้องการแทนที่

เพื่อเติมเต็มคำตอบที่ยอมรับเพื่อความปลอดภัยที่ดียิ่งขึ้นคุณสามารถเพิ่มใบรับรองเซิร์ฟเวอร์ของคุณหรือใบรับรอง CA หลักของคุณเองไปที่ keychain ( https://stackoverflow.com/a/9941559/1432048 ) แต่การทำเช่นนี้เพียงอย่างเดียวจะไม่ทำให้ NSURLConnection รับรองความถูกต้องของเซิร์ฟเวอร์ที่ลงชื่อด้วยตนเองโดยอัตโนมัติ คุณยังคงต้องเพิ่มรหัสด้านล่างลงในผู้รับมอบสิทธิ์ NSURLC การเชื่อมต่อของคุณมันถูกคัดลอกมาจากรหัสตัวอย่างของ Apple AdvancedURLConnectionsและคุณต้องเพิ่มไฟล์สองไฟล์ (Credentials.h, Credentials.m) จากตัวอย่างรหัส Apple ไปยังโครงการของคุณ

- (BOOL)connection:(NSURLConnection *)connection canAuthenticateAgainstProtectionSpace:(NSURLProtectionSpace *)protectionSpace {
return [protectionSpace.authenticationMethod isEqualToString:NSURLAuthenticationMethodServerTrust];
}

- (void)connection:(NSURLConnection *)connection didReceiveAuthenticationChallenge:(NSURLAuthenticationChallenge *)challenge {
if ([challenge.protectionSpace.authenticationMethod isEqualToString:NSURLAuthenticationMethodServerTrust]) {
//        if ([trustedHosts containsObject:challenge.protectionSpace.host])

    OSStatus                err;
    NSURLProtectionSpace *  protectionSpace;
    SecTrustRef             trust;
    SecTrustResultType      trustResult;
    BOOL                    trusted;

    protectionSpace = [challenge protectionSpace];
    assert(protectionSpace != nil);

    trust = [protectionSpace serverTrust];
    assert(trust != NULL);
    err = SecTrustEvaluate(trust, &trustResult);
    trusted = (err == noErr) && ((trustResult == kSecTrustResultProceed) || (trustResult == kSecTrustResultUnspecified));

    // If that fails, apply our certificates as anchors and see if that helps.
    //
    // It's perfectly acceptable to apply all of our certificates to the SecTrust
    // object, and let the SecTrust object sort out the mess.  Of course, this assumes
    // that the user trusts all certificates equally in all situations, which is implicit
    // in our user interface; you could provide a more sophisticated user interface
    // to allow the user to trust certain certificates for certain sites and so on).

    if ( ! trusted ) {
        err = SecTrustSetAnchorCertificates(trust, (CFArrayRef) [Credentials sharedCredentials].certificates);
        if (err == noErr) {
            err = SecTrustEvaluate(trust, &trustResult);
        }
        trusted = (err == noErr) && ((trustResult == kSecTrustResultProceed) || (trustResult == kSecTrustResultUnspecified));
    }
    if(trusted)
        [challenge.sender useCredential:[NSURLCredential credentialForTrust:challenge.protectionSpace.serverTrust] forAuthenticationChallenge:challenge];
}

[challenge.sender continueWithoutCredentialForAuthenticationChallenge:challenge];
}

ฉันไม่สามารถใช้เครดิตนี้ได้แต่สิ่งนี้ฉันพบว่าทำงานได้ดีสำหรับความต้องการของฉัน shouldAllowSelfSignedCertเป็นBOOLตัวแปรของฉัน เพียงเพิ่มNSURLConnectionผู้รับมอบสิทธิ์ของคุณและคุณควรจะผ่านไปอย่างรวดเร็วสำหรับการเชื่อมต่อพื้นฐาน

- (BOOL)connection:(NSURLConnection *)connection canAuthenticateAgainstProtectionSpace:(NSURLProtectionSpace *)space {
     if([[space authenticationMethod] isEqualToString:NSURLAuthenticationMethodServerTrust]) {
          if(shouldAllowSelfSignedCert) {
               return YES; // Self-signed cert will be accepted
          } else {
               return NO;  // Self-signed cert will be rejected
          }
          // Note: it doesn't seem to matter what you return for a proper SSL cert
          //       only self-signed certs
     }
     // If no other authentication is required, return NO for everything else
     // Otherwise maybe YES for NSURLAuthenticationMethodDefault and etc.
     return NO;
}

ใน iOS 9 การเชื่อมต่อ SSL จะล้มเหลวสำหรับใบรับรองที่ไม่ถูกต้องหรือลงนามด้วยตนเองทั้งหมด นี่เป็นพฤติกรรมเริ่มต้นของฟีเจอร์ความปลอดภัยการขนส่งแอพใหม่ใน iOS 9.0 หรือใหม่กว่าและใน OS X 10.11 และใหม่กว่า

คุณสามารถลบล้างพฤติกรรมนี้ได้ในInfo.plist, โดยการตั้งค่าNSAllowsArbitraryLoadsเป็นYESในNSAppTransportSecurityพจนานุกรม อย่างไรก็ตามฉันขอแนะนำให้แทนที่การตั้งค่านี้เพื่อการทดสอบเท่านั้น

สำหรับข้อมูลดู App ขนส่ง Technote ที่นี่

วิธีแก้ปัญหาหมวดหมู่ที่โพสต์โดย Nathan de Vries จะผ่านการตรวจสอบ API ส่วนตัวของ AppStore และมีประโยชน์ในกรณีที่คุณไม่สามารถควบคุมNSUrlConnectionวัตถุได้ ตัวอย่างหนึ่งคือNSXMLParserซึ่งจะเปิด URL ที่คุณจัดหา แต่ไม่ได้เปิดเผยหรือNSURLRequestNSURLConnection

ใน iOS 4 วิธีแก้ปัญหายังคงใช้งานได้ แต่บนอุปกรณ์เท่านั้นตัวจำลองจะไม่เรียกใช้allowsAnyHTTPSCertificateForHost:วิธีการอีกต่อไป

คุณต้องใช้NSURLConnectionDelegateเพื่ออนุญาตการเชื่อมต่อ HTTPS และมีการเรียกกลับใหม่ด้วย iOS8

เลิกใช้:

connection:canAuthenticateAgainstProtectionSpace:
connection:didCancelAuthenticationChallenge:
connection:didReceiveAuthenticationChallenge:

คุณต้องประกาศ:

connectionShouldUseCredentialStorage: - ส่งเพื่อตรวจสอบว่าตัวโหลด URL ควรใช้ที่เก็บข้อมูลรับรองสำหรับการตรวจสอบความถูกต้องของการเชื่อมต่อหรือไม่

connection:willSendRequestForAuthenticationChallenge: - บอกผู้รับมอบสิทธิ์ว่าการเชื่อมต่อจะส่งการร้องขอเพื่อขอการรับรองความถูกต้อง

ด้วยwillSendRequestForAuthenticationChallengeคุณสามารถใช้challengeเช่นเดียวกับที่คุณทำกับวิธีการเลิกเช่น:

// Trusting and not trusting connection to host: Self-signed certificate
[challenge.sender useCredential:[NSURLCredential credentialForTrust:challenge.protectionSpace.serverTrust] forAuthenticationChallenge:challenge];
[challenge.sender continueWithoutCredentialForAuthenticationChallenge:challenge];

ฉันโพสต์บางส่วนของรหัส (ขึ้นอยู่กับงานของคนอื่นที่ฉันทราบ) ที่ให้คุณรับรองความถูกต้องกับใบรับรองที่สร้างขึ้นเอง (และวิธีรับใบรับรองฟรี - ดูความคิดเห็นด้านล่างของCocoanetics )

รหัสของฉันอยู่ที่นี่GitHub

หากคุณต้องการใช้sendSynchronousRequest ต่อไปฉันจะทำงานในโซลูชันนี้:

FailCertificateDelegate *fcd=[[FailCertificateDelegate alloc] init];

NSURLConnection *c=[[NSURLConnection alloc] initWithRequest:request delegate:fcd startImmediately:NO];
[c setDelegateQueue:[[NSOperationQueue alloc] init]];
[c start];    
NSData *d=[fcd getData];

คุณสามารถดูได้ที่นี่: Objective-C SSL Synchronous Connection

ด้วยAFNetworkingฉันใช้ https webservice ด้วยโค้ดด้านล่างได้สำเร็จ

NSString *aStrServerUrl = WS_URL;

// Initialize AFHTTPRequestOperationManager...
AFHTTPRequestOperationManager *manager = [AFHTTPRequestOperationManager manager];
manager.requestSerializer = [AFJSONRequestSerializer serializer];
manager.responseSerializer = [AFJSONResponseSerializer serializer];

[manager.requestSerializer setValue:@"application/json" forHTTPHeaderField:@"Content-Type"];
manager.securityPolicy.allowInvalidCertificates = YES; 
[manager POST:aStrServerUrl parameters:parameters success:^(AFHTTPRequestOperation *operation, id responseObject)
{
    successBlock(operation, responseObject);

} failure:^(AFHTTPRequestOperation *operation, NSError *error)
{
    errorBlock(operation, error);
}];

คุณสามารถใช้รหัสนี้

-(void)connection:(NSURLConnection *)connection willSendRequestForAuthenticationChallenge:(NSURLAuthenticationChallenge *)challenge
{
     if ([[challenge protectionSpace] authenticationMethod] == NSURLAuthenticationMethodServerTrust)
     {
         [[challenge sender] useCredential:[NSURLCredential credentialForTrust:[[challenge protectionSpace] serverTrust]] forAuthenticationChallenge:challenge];
     }
}

ใช้-connection:willSendRequestForAuthenticationChallenge:แทนวิธีการที่เลิกใช้เหล่านี้

เลิกใช้:

-(BOOL)connection:(NSURLConnection *)connection canAuthenticateAgainstProtectionSpace:(NSURLProtectionSpace *)protectionSpace  
-(void)connection:(NSURLConnection *)connection didReceiveAuthenticationChallenge:(NSURLAuthenticationChallenge *)challenge 
-(void)connection:(NSURLConnection *)connection didCancelAuthenticationChallenge:(NSURLAuthenticationChallenge *)challenge