Güvenilmeyen bir sertifika için SSL ile bağlanmak için NSURLConnection nasıl kullanılır?

Bir SSL web sayfasına bağlanmak için aşağıdaki basit kod var

NSMutableURLRequest *urlRequest=[NSMutableURLRequest requestWithURL:url];
[ NSURLConnection sendSynchronousRequest: urlRequest returningResponse: nil error: &error ];

Sertifika kendinden imzalı olan bir hata ise, Error Domain=NSURLErrorDomain Code=-1202 UserInfo=0xd29930 "untrusted server certificate".yine de bağlantıları kabul edecek şekilde ayarlamanın bir yolu var mı (tıpkı kabul etmek için bir tarayıcıda olduğu gibi) veya baypas etmenin bir yolu var mı?

Bunu başarmak için desteklenen bir API var! NSURLConnectionTemsilcinize böyle bir şey ekleyin :

- (BOOL)connection:(NSURLConnection *)connection canAuthenticateAgainstProtectionSpace:(NSURLProtectionSpace *)protectionSpace {
  return [protectionSpace.authenticationMethod isEqualToString:NSURLAuthenticationMethodServerTrust];
}

- (void)connection:(NSURLConnection *)connection didReceiveAuthenticationChallenge:(NSURLAuthenticationChallenge *)challenge {
  if ([challenge.protectionSpace.authenticationMethod isEqualToString:NSURLAuthenticationMethodServerTrust])
    if ([trustedHosts containsObject:challenge.protectionSpace.host])
      [challenge.sender useCredential:[NSURLCredential credentialForTrust:challenge.protectionSpace.serverTrust] forAuthenticationChallenge:challenge];

  [challenge.sender continueWithoutCredentialForAuthenticationChallenge:challenge];
}

connection:didReceiveAuthenticationChallenge:Gerekirse kullanıcıya bir iletişim kutusu sunduktan sonra mesajını challenge.sender'a (çok) gönderebileceğini unutmayın .

Özel API'leri kullanmak istemiyorsanız (veya kullanamıyorsanız), ASIHTTPRequest adında , alt düzey çevresinde bir sarmalayıcı sağlayan açık kaynaklı (BSD lisansı) bir kitaplık vardır CFNetwork APIs. Son zamanlarda HTTPS connections, -setValidatesSecureCertificate:API ile kendinden imzalı veya güvenilmeyen sertifikaların kullanılmasına izin verme yeteneğini tanıttılar . Kütüphanenin tamamını çekmek istemiyorsanız, kaynağı aynı işlevselliği kendiniz uygulamak için referans olarak kullanabilirsiniz.

İdeal olarak, bir iOS uygulamasının güvenilir olmayan bir sertifikayı ne zaman kabul etmesi gerektiğine dair yalnızca iki senaryo olmalıdır.

Senaryo A: Kendinden imzalı bir sertifika kullanan bir test ortamına bağlısınız.

Senaryo B: Bir proxy HTTPSkullanarak trafiğe MITM Proxy like Burp Suite, Fiddler, OWASP ZAP, etc.proxy veriyorsunuz Proxy'ler, proxy'nin HTTPStrafiği yakalayabilmesi için kendinden imzalı bir CA tarafından imzalanan bir sertifika döndürür .

Üretim ana makineleri, açık nedenlerle asla güvenilir olmayan sertifikalar kullanmamalıdır .

İOS simülatörünün test amacıyla güvenilir olmayan bir sertifikayı kabul etmesi gerekiyorsa, cihaz tarafından sağlanan yerleşik sertifika doğrulamasını devre dışı bırakmak için uygulama mantığını değiştirmemeniz şiddetle önerilir. NSURLConnection API'lar . Uygulama bu mantık kaldırılmadan halka açıklanırsa, ortadaki adam saldırılarına açık olacaktır.

Test amacıyla güvenilir olmayan sertifikaları kabul etmenin önerilen yolu, sertifikayı imzalayan Sertifika Yetkilisi (CA) sertifikasını iOS Simulator veya iOS cihazınıza aktarmaktır. Bir iOS Simulator'ın bunu nasıl yapacağını gösteren hızlı bir blog yazısı yazdım:

ios simülatörünü kullanarak güvenilmeyen sertifikaları kabul etme

NSURLRequest, setAllowsAnyHTTPSCertificate:forHost:tam olarak istediğinizi yapacak özel bir yönteme sahiptir . allowsAnyHTTPSCertificateForHost:Yöntemi NSURLRequestbir kategori üzerinden tanımlayabilir ve YESgeçersiz kılmak istediğiniz ana makine için geri dönecek şekilde ayarlayabilirsiniz .

Kabul edilen yanıtı tamamlamak için, çok daha iyi bir güvenlik için, sunucu sertifikanızı veya kendi kök CA sertifikanızı anahtarlığa ekleyebilirsiniz ( https://stackoverflow.com/a/9941559/1432048 ), ancak bunu tek başına yapmak NSURLConnection yapmaz otomatik olarak imzalanan sunucunuzun kimliğini otomatik olarak doğrulayın. Yine de aşağıdaki kodu NSURLConnection temsilcinize eklemeniz gerekir, Apple örnek kodu AdvancedURLConnections'dan kopyalanır ve apple örnek kodundan projelerinize iki dosya (Credentials.h, Credentials.m) eklemeniz gerekir.

- (BOOL)connection:(NSURLConnection *)connection canAuthenticateAgainstProtectionSpace:(NSURLProtectionSpace *)protectionSpace {
return [protectionSpace.authenticationMethod isEqualToString:NSURLAuthenticationMethodServerTrust];
}

- (void)connection:(NSURLConnection *)connection didReceiveAuthenticationChallenge:(NSURLAuthenticationChallenge *)challenge {
if ([challenge.protectionSpace.authenticationMethod isEqualToString:NSURLAuthenticationMethodServerTrust]) {
//        if ([trustedHosts containsObject:challenge.protectionSpace.host])

    OSStatus                err;
    NSURLProtectionSpace *  protectionSpace;
    SecTrustRef             trust;
    SecTrustResultType      trustResult;
    BOOL                    trusted;

    protectionSpace = [challenge protectionSpace];
    assert(protectionSpace != nil);

    trust = [protectionSpace serverTrust];
    assert(trust != NULL);
    err = SecTrustEvaluate(trust, &trustResult);
    trusted = (err == noErr) && ((trustResult == kSecTrustResultProceed) || (trustResult == kSecTrustResultUnspecified));

    // If that fails, apply our certificates as anchors and see if that helps.
    //
    // It's perfectly acceptable to apply all of our certificates to the SecTrust
    // object, and let the SecTrust object sort out the mess.  Of course, this assumes
    // that the user trusts all certificates equally in all situations, which is implicit
    // in our user interface; you could provide a more sophisticated user interface
    // to allow the user to trust certain certificates for certain sites and so on).

    if ( ! trusted ) {
        err = SecTrustSetAnchorCertificates(trust, (CFArrayRef) [Credentials sharedCredentials].certificates);
        if (err == noErr) {
            err = SecTrustEvaluate(trust, &trustResult);
        }
        trusted = (err == noErr) && ((trustResult == kSecTrustResultProceed) || (trustResult == kSecTrustResultUnspecified));
    }
    if(trusted)
        [challenge.sender useCredential:[NSURLCredential credentialForTrust:challenge.protectionSpace.serverTrust] forAuthenticationChallenge:challenge];
}

[challenge.sender continueWithoutCredentialForAuthenticationChallenge:challenge];
}

Bunun için herhangi bir kredi alamıyorum, ama buldum bu benim ihtiyaçları için gerçekten iyi çalıştı. shouldAllowSelfSignedCertbenim BOOLdeğişkenim. NSURLConnectionTemsilcinize eklemeniz yeterlidir ve her bağlantı için hızlı bir baypas yapmanız gerekir.

- (BOOL)connection:(NSURLConnection *)connection canAuthenticateAgainstProtectionSpace:(NSURLProtectionSpace *)space {
     if([[space authenticationMethod] isEqualToString:NSURLAuthenticationMethodServerTrust]) {
          if(shouldAllowSelfSignedCert) {
               return YES; // Self-signed cert will be accepted
          } else {
               return NO;  // Self-signed cert will be rejected
          }
          // Note: it doesn't seem to matter what you return for a proper SSL cert
          //       only self-signed certs
     }
     // If no other authentication is required, return NO for everything else
     // Otherwise maybe YES for NSURLAuthenticationMethodDefault and etc.
     return NO;
}

İOS 9'da, tüm geçersiz veya kendinden imzalı sertifikalar için SSL bağlantıları başarısız olur. Bu, iOS 9.0 veya sonraki sürümlerde ve OS X 10.11 ve sonraki sürümlerde yeni App Transport Security özelliğinin varsayılan davranışıdır .

Sen bu davranışı geçersiz kılabilirsiniz Info.plistayarlayarak, NSAllowsArbitraryLoadshiç YESde NSAppTransportSecuritysözlüğe. Ancak, bu ayarı yalnızca test amacıyla geçersiz kılmanızı öneririm.

Bilgi için buradaki Uygulama Aktarım Tekniğine bakın .

Nathan de Vries tarafından yayınlanan kategori geçici çözümü AppStore özel API denetimlerini geçecek ve NSUrlConnectionnesnenin denetiminin olmadığı durumlarda yararlı olacaktır . Bir örnek, NSXMLParsersağladığınız URL'yi açacak, ancak NSURLRequestveya öğesini göstermeyecektir NSURLConnection.

İOS 4'te geçici çözüm hala çalışıyor gibi görünüyor, ancak sadece cihazda Simulator allowsAnyHTTPSCertificateForHost:artık yöntemi çağırmıyor.

NSURLConnectionDelegateHTTPS bağlantılarına izin vermek için kullanmanız gerekir ve iOS8 ile yeni geri aramalar vardır.

Kullanımdan kaldırılan:

connection:canAuthenticateAgainstProtectionSpace:
connection:didCancelAuthenticationChallenge:
connection:didReceiveAuthenticationChallenge:

Bunun yerine, beyan etmelisiniz:

connectionShouldUseCredentialStorage: - URL yükleyicinin bağlantıyı doğrulamak için kimlik bilgileri deposunu kullanıp kullanmayacağını belirlemek için gönderilir.

connection:willSendRequestForAuthenticationChallenge: - Temsilciye bağlantının bir kimlik doğrulama sorgusu için istek göndereceğini söyler.

İle willSendRequestForAuthenticationChallengekullanabileceğiniz challengeörneğin kullanımdan kaldırılmış yöntemleri ile yaptığı gibi:

// Trusting and not trusting connection to host: Self-signed certificate
[challenge.sender useCredential:[NSURLCredential credentialForTrust:challenge.protectionSpace.serverTrust] forAuthenticationChallenge:challenge];
[challenge.sender continueWithoutCredentialForAuthenticationChallenge:challenge];

Kendi ürettiğimiz bir sertifikaya karşı doğru bir şekilde kimlik doğrulaması yapmanıza izin veren (ve bir başka kişinin çalışmasına bağlı olarak) bazı gist kodları yayınladım (ve ücretsiz bir sertifika nasıl edinebilirsiniz - Cocoanetics'in altındaki yorumlara bakın )

Kodum burada github

SendSynchronousRequest kullanmaya devam etmek istiyorsanız bu çözümde çalışıyorum:

FailCertificateDelegate *fcd=[[FailCertificateDelegate alloc] init];

NSURLConnection *c=[[NSURLConnection alloc] initWithRequest:request delegate:fcd startImmediately:NO];
[c setDelegateQueue:[[NSOperationQueue alloc] init]];
[c start];    
NSData *d=[fcd getData];

burada görebilirsiniz: Objective-C SSL Senkron Bağlantı

AFNetworking ile https web servisini aşağıdaki kodla başarıyla kullandım,

NSString *aStrServerUrl = WS_URL;

// Initialize AFHTTPRequestOperationManager...
AFHTTPRequestOperationManager *manager = [AFHTTPRequestOperationManager manager];
manager.requestSerializer = [AFJSONRequestSerializer serializer];
manager.responseSerializer = [AFJSONResponseSerializer serializer];

[manager.requestSerializer setValue:@"application/json" forHTTPHeaderField:@"Content-Type"];
manager.securityPolicy.allowInvalidCertificates = YES; 
[manager POST:aStrServerUrl parameters:parameters success:^(AFHTTPRequestOperation *operation, id responseObject)
{
    successBlock(operation, responseObject);

} failure:^(AFHTTPRequestOperation *operation, NSError *error)
{
    errorBlock(operation, error);
}];

Bu Kodu kullanabilirsiniz

-(void)connection:(NSURLConnection *)connection willSendRequestForAuthenticationChallenge:(NSURLAuthenticationChallenge *)challenge
{
     if ([[challenge protectionSpace] authenticationMethod] == NSURLAuthenticationMethodServerTrust)
     {
         [[challenge sender] useCredential:[NSURLCredential credentialForTrust:[[challenge protectionSpace] serverTrust]] forAuthenticationChallenge:challenge];
     }
}

kullanım -connection:willSendRequestForAuthenticationChallenge:Bu Kullanımdan Kaldırılmış Yöntemler yerine

Kullanımdan kaldırılan:

-(BOOL)connection:(NSURLConnection *)connection canAuthenticateAgainstProtectionSpace:(NSURLProtectionSpace *)protectionSpace  
-(void)connection:(NSURLConnection *)connection didReceiveAuthenticationChallenge:(NSURLAuthenticationChallenge *)challenge 
-(void)connection:(NSURLConnection *)connection didCancelAuthenticationChallenge:(NSURLAuthenticationChallenge *)challenge