支持服务器的 iOS 9 ATS SSL 错误

Question

我安装了 Xcode 7 并尝试在 iOS 9 下运行我的应用程序。 我收到了臭名昭著的错误：Connection failed! Error - -1200 An SSL error has occurred and a secure connection to the server cannot be made. 问题是我的服务器确实支持 TLSv1.2，我正在使用NSURLSession。

那会是什么问题呢？

Answer 1

Apple 已发布 App Transport Security 的完整要求列表。

原来我们正在使用 TLS v1.2，但缺少一些其他要求。

这是完整的检查清单：

1. TLS 至少需要 1.2 版。
2. 连接密码仅限于那些提供前向保密的密码（请参阅下面的密码列表。）
3. 该服务需要至少使用 SHA256 指纹的证书，该指纹具有 2048 位或更高的 RSA 密钥，或者 256 位或更高的椭圆曲线 (ECC) 密钥。
4. 无效的证书会导致硬故障和无连接。

接受的密码是：

TLS_ECDHE_ECDSA_WITH_AES_256_GCM_SHA384
TLS_ECDHE_ECDSA_WITH_AES_128_GCM_SHA256
TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA384
TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA
TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA256
TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA
TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384
TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256
TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA384
TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256
TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA

Answer 2

在 iOS9 中，Apple 添加了名为 App Transport Security(ATS) 的新功能。

ATS 在网络调用期间强制执行最佳做法，包括使用 HTTPS。

Apple 预发布文档：

ATS 可防止意外泄露，提供安全的默认行为， 并且易于采用。你应该尽快采用ATS， 无论您是创建新应用还是更新 现有的。

如果您正在开发新应用，则应仅使用 HTTPS。如果 你有一个现有的应用程序，你应该尽可能多地使用 HTTPS 现在，并创建一个迁移应用程序其余部分的计划 尽快。

在您的 info.plist 中添加下方键，然后查看。

<key>NSAppTransportSecurity</key>
<dict>
    <key>NSAllowsArbitraryLoads</key>
    <true/>
</dict>

你甚至可以添加特定的异常，

<key>NSAppTransportSecurity</key>
<dict>
    <key>NSExceptionDomains</key>
    <dict>
        <key>testdomain.com</key>
        <dict>
            <key>NSIncludesSubdomains</key>
            <false/>
            <key>NSExceptionAllowInsecureHTTPSLoads</key>
            <false/>
            <key>NSExceptionRequiresForwardSecrecy</key>
            <true/>
            <key>NSExceptionMinimumTLSVersion</key>
            <string>TLSv1.2</string>
            <key>NSThirdPartyExceptionAllowInsecureHTTPSLoads</key>
            <false/>
            <key>NSThirdPartyExceptionRequiresForwardSecrecy</key>
            <true/>
            <key>NSThirdPartyExceptionMinimumTLSVersion</key>
            <string>TLSv1.2</string>
            <key>NSRequiresCertificateTransparency</key>
            <false/>
        </dict>

        ...

    </dict>
</dict>

Answer 3

查看苹果提供的this doc。

我在 iOS 9 上运行时遇到了类似的问题，我为修复它所做的是将 NSAppTransportSecurity 字典添加到我的 info.plist 文件中，并将 NSAllowsArbitraryLoads Bool 设置为 true 并在清理和重建它工作。

我希望这会有所帮助！

Answer 4

对我来说，代理被阻止尝试使用来自不同来源的互联网将解决问题。 Wifi、局域网等

Answer 5

在 iOS9 中，我遇到了同样的问题： 虽然SSLlab 结果显示我的服务器上的协议/密码没有问题，但在运行 iOS/9.3.5 且 SSL 错误的 iPad 上连接到一个特定 URL 失败：

Connection cannot be established.

我的愚蠢错误是，我有一个重定向，即在 NGINX 中（在 Apache 中类似）：

rewrite /calendar     $scheme://www.example.org/resources/calendar;

如果用户通过设置访问/calender：

https://example.org/calendar

服务器重定向到另一个域，破坏了 SSL 连接的建立。

设置重定向如下修复它：

rewrite /calendar     $scheme://$server_name/resources/calendar;