澳门新葡新京 > 关于我们 > iOS如何优雅的处理,自签证书访问数据

iOS如何优雅的处理,自签证书访问数据
2020-05-05 19:38

HTTP作为纯文本协议在安全隐私方面具有天然的缺陷,苹果很久前就决定使用更具有安全性的 HTTPS 作为 iOS 移动应用作为的网络协议标准,不过苹果在今年的WWDC中一再指出,仅仅支持 HTTPS 是远远不够的,因为 HTTPS 会因为配置不当带来安全威胁。

一般来讲如果app用了web service , 我们需要防止数据嗅探来保证数据安全.通常的做法是用ssl来连接以防止数据抓包和嗅探

图片 1

图片 2

App Transport Security 是苹果在 iOS9 中为了保障网络安全通讯引进的组件, ATS 实际上封装了传输层安全(Transport Layer Security - TLS)。

其实这么做的话还是不够的 。 我们还需要防止中间人攻击(不明白的自己去百度)。攻击者通过伪造的ssl证书使app连接到了伪装的假冒的服务器上,这是个严重的问题!那么如何防止中间人攻击呢?

最近看了一些Swift关于封装异步操作过程的文章,比如RxSwift,RAC等等,因为回调地狱我自己也写过,很有感触,于是就翻出了Promise来研究学习一下。现将自己的一些收获分享一下,有错误欢迎大家多多指教。

1. 给一个数组,要求写一个函数,交换数组中的两个元素
  • 二X程序员:好简单啊,直接写出以下结果
func swap(_ nums: inout [Int], _ p: Int, _ q: Int) { let temp = nums[p] nums[p] = nums[q] nums[q] = temp }
  • 普通程序员:首先跟面试官沟通,是什么类型的数组?面试官会说,任意。普通程序员微微一笑,写出以下代码
func swap<T>(_ nums: inout [T], _ p: Int, _ q: Int) { let temp = nums[p] nums[p] = nums[q] nums[q] = temp }
  • 文艺程序员:与面试官沟通,是什么类型的数组?有什么其他要求和限制?面试官会说,这是一个Swift面试题。文艺程序员心领神会,于是写出以下答案
func swap<T>(_ nums: inout [T], _ p: Int, _ q: Int) { (nums[p], nums[q]) = (nums[q], nums[p])}

同时对以上代码写上相应测试,检测各种边界情况,再确认无误后,才会说,这道题目我完成了。这道题目看似简单,实际上考察了程序员的审题、交流、以及测试的意识。技术上考察了Swift的泛型和Tuple的性质。

  • ATS只允许连接遵守 TLS 1.2 协议的服务器。

这里总结为详细的步骤:① 浏览器发送一个连接请求给安全服务器。② 服务器将自己的证书,以及同证书相关的信息发送给客户浏览器。③ 客户浏览器检查服务器送过来的证书是否是由自己信赖的 CA 中心所签发的。如果是,就继续执行协议;如果不是,客户浏览器就给客户一个警告消息:警告客户这个证书不是可以信赖的,询问客户是否需要继续。④ 接着客户浏览器比较证书里的消息,例如域名和公钥,与服务器刚刚发送的相关消息是否一致,如果是一致的,客户浏览器认可这个服务器的合法身份。⑤ 服务器要求客户发送客户自己的证书。收到后,服务器验证客户的证书,如果没有通过验证,拒绝连接;如果通过验证,服务器获得用户的公钥。⑥ 客户浏览器告诉服务器自己所能够支持的通讯对称密码方案。⑦ 服务器从客户发送过来的密码方案中,选择一种加密程度最高的密码方案,用客户的公钥加过密后通知浏览器。⑧ 浏览器针对这个密码方案,选择一个通话密钥,接着用服务器的公钥加过密后发送给服务器。⑨ 服务器接收到浏览器送过来的消息,用自己的私钥解密,获得通话密钥。⑩ 服务器、浏览器接下来的通讯都是用对称密码方案,对称密钥是加过密的。

  • 1.PromiseKit简介
  • 2.PromiseKit安装和使用
  • 3.PromiseKit主要函数的使用方法
  • 4.PromiseKit的源码解析
  • 5.使用PromiseKit优雅的处理回调地狱
2. 实现一个函数,输入是任一整数,输出要返回输入的整数 + 2

这道题很多人上来就这样写:

func addTwo(_ num: Int) -> Int { return num + 2}

接下来面试官会说,那假如我要实现 + 4 呢?程序员想了一想,又定义了另一个方法:

func addFour(_ num: Int) -> Int { return num + 4}

这时面试官会问,假如我要实现返回 + 6, + 8 的操作呢?能不能只定义一次方法呢?正确的写法是利用 Swift 的 Currying 特性:

func add(_ num: Int) ->  -> Int { return { val in return num + val }}let addTwo = add, addFour = add, addSix = add, addEight = add
  1. ATS只允许连接使用 AES128+ 和 SHA2+ 强加密算法的服务器。
  2. ATS只允许连接遵守完全前向保密 (Perfect Forward Secrecy - PFS) 协议的服务器。
  • 1.首先web服务器必须提供一个ssl证书,需要一个 .crt 文件, 在开始写代码前,先要把 .crt 文件转成 .cer 文件,然后在加到Bundle 里面. 使用openssl 进行转换:openssl x509 -in 你的证书.crt -out 你的证书.cer -outform der

  • 2.通过安装crt文件,电脑导出.

    • 先打开“钥匙串访问”

    • 选中你安装的crt文件证书,选择“文件”--》“导出项目”

      图片 3

    • 选择.cer证书,存储即可。

      图片 4

PromiseKit是iOS/OS X 中一个用来出来异步编程框架。这个框架是由Max Howell(Mac下Homebrew的作者,传说中因为"不会"写反转二叉树而没有拿到Google offer)大神级人物开发出来的。

3. 精简以下代码
func divide(dividend: Double?, by divisor: Double?) -> Double? { if dividend == nil { return nil } if divisor == nil { return nil } if divisor == 0 { return nil } return dividend! / divisor!}

这题考察的是 guard let 语句以及 optional chaining,最佳答案是

func divide(dividend: Double?, by divisor: Double?) -> Double? { guard let dividend = dividend, let divisor = divisor, divisor != 0 else { return nil } return dividend / divisor}

到目前为止,绝大部分应用都倾向于手动禁止ATS (在文件Info.plist中设置Allowing Arbitrary Loads),虽然当前苹果还接受这种行为,但苹果已经发布声明从 2017年一月一日 开始将不再接受没有恰当理由却禁止 ATS 的应用。

写工具类#import "AFNetworking.h"

在PromiseKit中,最重要的一个概念就是Promise的概念,Promise是异步操作后的future的一个值。

4. 以下函数会打印出什么?
var car = "Benz" let closure = { [car] in print("I drive } car = "Tesla" closure()

因为 clousre 已经申明将 car 复制进去了,此时clousre 里的 car 是个局部变量,不再与外面的 car有关,所以会打印出"I drive Benz"。此时面试官微微一笑,将题目略作修改如下:

var car = "Benz" let closure = { print("I drive } car = "Tesla" closure()

此时 closure 没有申明复制拷贝 car,所以clousre 用的还是全局的 car 变量,此时将会打印出 "I drive Tesla"

苹果向来都是说一不二的,当你的应用因为 ATS 的理由被审核人员拒绝上架,并且不接受申诉理由,会不会觉得欲哭无泪呢?

A promise represents the future value of an asynchronous task.A promise is an object that wraps an asynchronous task

5. 以下代码会打印出什么?
protocol Pizzeria { func makePizza(_ ingredients: [String]) func makeMargherita()} extension Pizzeria { func makeMargherita() { return makePizza(["tomato", "mozzarella"]) }}struct Lombardis: Pizzeria { func makePizza(_ ingredients: [String]) { print(ingredients) } func makeMargherita() { return makePizza(["tomato", "basil", "mozzarella"]) }}let lombardis1: Pizzeria = Lombardis()let lombardis2: Lombardis = Lombardis() lombardis1.makeMargherita()lombardis2.makeMargherita()

答案:打印出如下两行["tomato", "basil", "mozzarella"]["tomato", "basil", "mozzarella"]在Lombardis的代码中,重写了makeMargherita的代码,所以永远调用的是Lombardis 中的 makeMargherita。再进一步,我们把 protocol Pizzeria 中的 func makeMargherita() 删掉,代码变为

protocol Pizzeria { func makePizza(_ ingredients: [String])}extension Pizzeria { func makeMargherita() { return makePizza(["tomato", "mozzarella"]) }}struct Lombardis: Pizzeria { func makePizza(_ ingredients: [String]) { print(ingredients) } func makeMargherita() { return makePizza(["tomato", "basil", "mozzarella"]) }}let lombardis1: Pizzeria = Lombardis()let lombardis2: Lombardis = Lombardis()lombardis1.makeMargherita()lombardis2.makeMargherita()

这时候打印出如下结果:["tomato", "mozzarella"]["tomato", "basil", "mozzarella"]因为lombardis1 是 Pizzeria,而 makeMargherita() 有默认实现,这时候我们调用默认实现。

如果你的团队还没有计划支持 ATS,现在行动还为时未晚,前端工程师们和后端团队(架构或基础设施团队)坐在一起讨论下如何在服务器端支持 TLS 。

Promise也是一个包装着异步操作的一个对象。使用PromiseKit,能够编写出整洁,有序的代码,逻辑简单的,将Promise作为参数,模块化的从一个异步任务到下一个异步任务中去。用PromiseKit写出的代码就是这样:

6. Swift 中定义常量和 Objective-C 中定义常量有什么区别?

一般人会觉得没有差别,因为写出来好像也确实没差别。OC是这样定义常量的:

const int number = 0;

Swift 是这样定义常量的:

let number = 0

首先第一个区别,OC中用 const 来表示常量,而 Swift 中用 let 来判断是不是常量。上面的区别更进一步说,OC中 const 表明的常量类型和数值是在 compilation time 时确定的;而 Swift 中 let 只是表明常量,其类型和值既可以是静态的,也可以是一个动态的计算方法,它们在 runtime 时确定的。<br >

如果你的服务器已经支持 TLS, 在 OSX/macOS 上可以使用命令 nscurl 来检测配置和兼容性的问题。

#import <Foundation/Foundation.h>@interface HttpRequest : NSObject/** * 发送一个POST请求 * * @param url 请求路径 * @param params 请求参数 * @param success 请求成功后的回调(请将请求成功后想做的事情写到这个block中) * @param failure 请求失败后的回调(请将请求失败后想做的事情写到这个block中) */+ post:(NSString *)url params:(NSDictionary *)params success:(id responseObj))success failure:(NSError *error))failure;@end
[self login].then(^{ // our login method wrapped an async task in a promise return [API fetchData]; }).then(^(NSArray *fetchedData){ // our API class wraps our API and returns promises // fetchedData returned a promise that resolves with an array of data self.datasource = fetchedData; [self.tableView reloadData]; }).catch(^(NSError *error){ // any errors in any of the above promises land here [[[UIAlertView alloc] init…] show]; });
7. Swift 中 struct 和 class 什么区别?举个应用中的实例

struct 是值类型,class 是引用类型。看过WWDC的人都知道,struct 是苹果推荐的,原因在于它在小数据模型传递和拷贝时比 class 要更安全,在多线程和网络请求时尤其好用。我们来看一个简单的例子:

class A { var val = 1}var a = A()var b = ab.val = 2

此时 a 的 val 也被改成了 2,因为 a 和 b 都是引用类型,本质上它们指向同一内存。解决这个问题的方法就是使用 struct:

struct A { var val = 1}var a = A()var b = ab.val = 2

此时 A 是struct,值类型,b 和 a 是不同的东西,改变 b 对于 a 没有影响。

这里使用 https://taobao.com 作为目标域名做个测试。

PromiseKit就是用来干净简洁的代码,来解决异步操作,和奇怪的错误处理回调的。它将异步操作变成了链式的调用,简单的错误处理方式。

8. Swift 到底是面向对象还是函数式的编程语言?

Swift 既是面向对象的,又是函数式的编程语言。说 Swift 是 Object-oriented,是因为 Swift 支持类的封装、继承、和多态,从这点上来看与 Java 这类纯面向对象的语言几乎毫无差别。说 Swift 是函数式编程语言,是因为 Swift 支持 map, reduce, filter, flatmap 这类去除中间状态、数学函数式的方法,更加强调运算结果而不是中间过程。

nscurl --ats-diagnostics https://taobao.com

PromiseKit里面目前有2个类,一个是Promise<T>,一个是AnyPromise(Objective-C),2者的区别就在2种语言的特性上,Promise<T>是定义精确严格的,AnyPromise是定义宽松,灵活,动态的。

下面是在终端中输出的结果:

#import "HttpRequest.h"#import "AFNetworking.h"/** * 是否开启https SSL 验证 * * @return YES为开启,NO为关闭 */#define openHttpsSSL YES/** * SSL 证书名称,仅支持cer格式。“app.bishe.com.cer”,则填“app.bishe.com” */#define certificate @"adn"@implementation HttpRequest+ post:(NSString *)url params:(NSDictionary *)params success:success failure:(NSError *))failure{ //对应域名的校验我认为应该在url中去逻辑判断。--》冯龙腾写 //通过对url字符串的切割对子域名进行逻辑验证处理。 // 1.获得请求管理者 AFHTTPRequestOperationManager *mgr = [AFHTTPRequestOperationManager manager]; // 2.申明返回的结果是text/html类型 mgr.responseSerializer = [AFHTTPResponseSerializer serializer]; mgr.responseSerializer.acceptableContentTypes = [NSSet setWithObjects:@"application/json",@"text/json",@"text/javascript",@"text/html",nil]; // 3.设置超时时间为10s mgr.requestSerializer.timeoutInterval = 10; // 加上这行代码,https ssl 验证。 if(openHttpsSSL) { [mgr setSecurityPolicy:[self customSecurityPolicy]]; } // 4.发送POST请求 [mgr POST:url parameters:params success:^(AFHTTPRequestOperation *operation, id responseObj) { if  { success(responseObj); } } failure:^(AFHTTPRequestOperation *operation, NSError *error) { if  { failure; } }];}+ (AFSecurityPolicy*)customSecurityPolicy{ // /先导入证书 NSString *cerPath = [[NSBundle mainBundle] pathForResource:certificate ofType:@"cer"];//证书的路径 NSData *certData = [NSData dataWithContentsOfFile:cerPath]; // AFSSLPinningModeCertificate 使用证书验证模式 AFSecurityPolicy *securityPolicy = [AFSecurityPolicy policyWithPinningMode:AFSSLPinningModeCertificate]; // allowInvalidCertificates 是否允许无效证书,默认为NO // 如果是需要验证自建证书,需要设置为YES securityPolicy.allowInvalidCertificates = YES; //validatesDomainName 是否需要验证域名,默认为YES; //假如证书的域名与你请求的域名不一致,需把该项设置为NO;如设成NO的话,即服务器使用其他可信任机构颁发的证书,也可以建立连接,这个非常危险,建议打开。 //置为NO,主要用于这种情况:客户端请求的是子域名,而证书上的是另外一个域名。因为SSL证书上的域名是独立的,假如证书上注册的域名是www.google.com,那么mail.google.com是无法验证通过的;当然,有钱可以注册通配符的域名*.google.com,但这个还是比较贵的。 //如置为NO,建议自己添加对应域名的校验逻辑。 //对应域名的校验我认为应该在url中去逻辑判断。--》冯龙腾写 securityPolicy.validatesDomainName = NO; if  { securityPolicy.pinnedCertificates = @[certData]; } return securityPolicy;}@end

在异步编程中,有一个最最典型的例子就是回调地狱CallBack hell,要是处理的不优雅,就会出现下图这样:

Starting ATS DiagnosticsConfiguring ATS Info.plist keys and displaying the result of HTTPS loads to https://taobao.com.A test will "PASS" if URLSession:task:didCompleteWithError: returns a nil error.Use '--verbose' to view the ATS dictionaries used and to display the error received in URLSession:task:didCompleteWithError:.================================================================================Default ATS Secure Connection---ATS Default ConnectionResult : PASS---================================================================================Allowing Arbitrary Loads---Allow All LoadsResult : PASS---================================================================================Configuring TLS exceptions for taobao.com---TLSv1.2Result : PASS------TLSv1.1Result : PASS------TLSv1.0Result : PASS---================================================================================Configuring PFS exceptions for taobao.com---Disabling Perfect Forward SecrecyResult : PASS---================================================================================Configuring PFS exceptions and allowing insecure HTTP for taobao.com---Disabling Perfect Forward Secrecy and Allowing Insecure HTTPResult : PASS---================================================================================Configuring TLS exceptions with PFS disabled for taobao.com---TLSv1.2 with PFS disabledResult : PASS------TLSv1.1 with PFS disabledResult : PASS------TLSv1.0 with PFS disabledResult : PASS---================================================================================Configuring TLS exceptions with PFS disabled and insecure HTTP allowed for taobao.com---TLSv1.2 with PFS disabled and insecure HTTP allowedResult : PASS------TLSv1.1 with PFS disabled and insecure HTTP allowedResult : PASS------TLSv1.0 with PFS disabled and insecure HTTP allowedResult : PASS---================================================================================

我前面说过,验证站点证书,是通过域名的,如果服务器端站点没有绑定域名,仅靠IP地址上面的方法是绝对不行的。怎么办?答案是想通过设置是不可以的,你只能修改AFNetworking2的源代码!打开AFSecurityPolicy.m文件,找到方法:

图片 5上图的代码是真实存在的,也是朋友告诉我的,来自快的的代码,当然现在人家肯定改掉了。虽然这种代码看着像这样:图片 6

在上面输出结果中, 最重要的是下面的一部分:

- evaluateServerTrust:(SecTrustRef)serverTrust forDomain:(NSString *)domain将下面这部分注释掉// SecTrustSetAnchorCertificates(serverTrust, (__bridge CFArrayRef)pinnedCertificates);//// if (!AFServerTrustIsValid(serverTrust)) {// return NO;// }//// if (!self.validatesCertificateChain) {// return YES;// }

代码虽然看上去不优雅,功能都是正确的,但是这种代码基本大家都自己写过,我自己也写过很多。今天就让我们动起手来,用PromiseKit来优雅的处理掉Callback hell吧。

Default ATS Secure Connection---ATS Default ConnectionResult : PASS---

这样,AFSecurityPolicy就只会比对服务器证书和内嵌证书是否一致,不会再验证证书是否和站点域名一致了。

1.下载安装CocoaPods

上面的结果表明该域名已经支持 ATS 链接,也就是说可以建立满足苹果安全要求的连接,如果返回的结果是FAIL ,说明配置不当,需要继续调整。

这么做为什么是安全的?了解HTTPS的人都知道,整个验证体系中,最核心的实际上是服务器的私钥。私钥永远,永远也不会离开服务器,或者以任何形式向外传输。私钥和公钥是配对的,如果事先在客户端预留了公钥,只要服务器端的公钥和预留的公钥一致,实际上就已经可以排除中间人攻击了。

在墙外的安装步骤:在Terminal里面输入

如果需要调试一些由于采用了 ATS 后产生的问题,需要在Xcode 项目中设置CFNETWORK_DIAGNOSTICS 环境变量为1,这样就会打印出包含被访问的URL和ATS错误在内的NSURLSession错误信息,进而方便调试。

sudo gem install cocoapods && pod setup

在支持 ATS 的过程中,可能遇到各种各样的问题无法解决,如服务器只支持 HTTP, 或服务器只支持 TLS 1.0 版本等。ATS为此提供了相关配置:

大多数在墙内的同学应该看如下步骤了:

  • NSAllowArbitraryLoads - 直接禁止 ATS 安全策略, 允许 HTTP 和 非安全的 HTTPS 建立连接。
  • NSExceptionAllowsInsecureHTTPLoads - 允许 HTTP 协议访问目标域名。
  • NSExceptionMinimumTLSVersion - 指定支持的 TLS 的最低版本号。
  • NSExceptionRequiresForwardSecrecy - 不要求支持完全前向保密。
  • ** NSAllowsArbitraryLoadsForMedia** - 通过AVFoundation操作远程媒体流
  • NSAllowsArbitraryLoadsInWebContent - 通过 WKWebView 访问和展示网站内容。
  • NSThirdPartyExceptionAllowsInsecureHTTPLoads - 允许 HTTP 协议访问第三方服务器目标域名。
  • NSThirdPartyExceptionRequiresForwardSecrecy - 不要求第三方服务器支持完全前向保密。
  • NSThirdPartyExceptionMinimumTLSVersion - 指定第三方服务器支持的 TLS 的最低版本号。
//移除原有的墙外Ruby 默认源$ gem sources --remove https://rubygems.org///添加现有的墙内的淘宝源$ gem sources -a https://ruby.taobao.org///验证新源是否替换成功$ gem sources -l//下载安装cocoapods// OS 10.11之前$ sudo gem install cocoapods//mark:OS 升级 OS X EL Capitan 后命令应该为:$ sudo gem install -n /usr/local/bin cocoapods//设置cocoapods$ pod setup

例如,某第三方服务不支持 ATS 安全策略,需要在info.plist里做如下设置,声明不遵守 TLS 协议。

2.找到项目的路径,进入项目文件夹下面,执行:

<key>NSAppTransportSecurity</key> <dict> <key>NSExceptionDomains</key> <dict> <key>taobao.com</key> <dict> <key> NSThirdPartyExceptionAllowsInsecureHTTPLoads</key> <true/> </dict> </dict></dict> 
$ touch Podfile && open -e Podfile

在上面例子中,把属性NSThirdPartyExceptionAllowsInsecureHTTPLoads设置成 true ,允许通过 HTTP协议访问 第三方taobao.com 主机。

此时会打开TextEdit,然后输入一下命令:

记住如果不能说服第三方服务提供者及时提高安全基础服务,在未来提交应用审核的时候,需要向苹果澄清为何有部分服务不支持 ATS,至于应用审核人员是否接受你的解释,只能说:祝你好运!

platform:ios, ‘7.0’target 'PromisekitDemo' do //由于最新版cocoapods的要求,所以必须加入这句话 pod 'PromiseKit'end

获取更多内容请关注微信公众号豆志昂扬:

Tips:感谢qinfensky大神提醒,其实这里也可以用init命令Podfile是CocoaPods的特殊文件,在其中可以列入在项目中想要使用的开源库,若想创建Podfile,有2种方法:1.在项目目录中创建空文本文件,命名为Podfile2.或者可以再项目目录中运行“$ pod init “,来创建功能性文件(终端中输入cd 文件夹地址,然后再输入 pod init)两种方法都可以创建Podfile,使用你最喜欢使用的方法

  • 直接添加公众号豆志昂扬
  • 微信扫描下图二维码;

3.安装PromiseKit