Zainstalowane certyfikaty iOS 11 nie są zaufane automatycznie (podpisane automatycznie)

Question

W naszej wewnętrznej sieci używamy samopodpisanego certyfikatu CA. Działa to dobrze od lat, zarówno w Safari, jak i naszym iOS, aż po iOS 10. Po prostu instalujemy certyfikat CA na dowolnym nowym urządzeniu lub symulatorze i wszystko działa, nawet z ATS. Umożliwia to dostęp do wszystkich naszych wewnętrznych serwerów testowych bez konieczności indywidualnego zaufania do każdego serwera.

Począwszy od iOS 11 zainstalowany certyfikat CA nie pozwala już Safari ani naszej aplikacji na zaufanie do certyfikatu dla żadnego z serwerów. Otrzymujemy następujące istotne dane z CFNETWORK_DIAGNOSTICS włączona do naszej aplikacji:

Error Code kCFErrorDomainCFNetwork Domain = -1200 =
_kCFNetworkCFStreamSSLErrorOriginalValue = -9802
_kCFStreamErrorDomainKey =
_kCFStreamErrorCodeKey = - 9802
NSLocalizedDescription = Wystąpił błąd SSL i bezpieczne połączenie z serwerem r nie można wykonać.
NSLocalizedRecoverySuggestion = Czy mimo to chcesz połączyć się z serwerem?

Spędziłem dużo czasu próbując rozwiązać ten problem, przeszukując StackOverflow i resztę sieci. Chociaż używamy AFNetworking w naszej aplikacji, wydaje się to nieistotne, ponieważ Safari już nie ufa tym serwerom za pośrednictwem CA. Wyłączenie ATS poprzez NSAllowsArbitraryLoads umożliwia dostęp do serwerów, ale oczywiście nie jest rozwiązaniem.

Nie wprowadzono żadnych zmian w naszym kodzie -URLSession:didReceiveChallenge:completionHandler, a my mamy odpowiednią (działającą od lat) implementację odpowiedzi na wezwanie przez challenge.protectionSpace.serverTrust.

Ponownie oceniłem i przetestowałem zarówno certyfikaty urzędu certyfikacji, jak i serwera, w każdym razie, o czym myślę, i działają wszędzie, z wyjątkiem iOS 11. Co mogło się zmienić w ATS na iOS 11, które mogło spowodować ten problem?

Answer 1

Podczas pisania tego pytania odkryłem odpowiedź. Zainstalowanie urzędu certyfikacji z przeglądarki Safari nie powoduje już automatycznego zaufania. Musiałem ręcznie zaufać mu z panelu Ustawienia zaufania certyfikatu (również wspomniano w this question).

Zastanawiałem anulowanie pytanie, ale myślałem, że to może być pomocne mieć niektóre z odpowiednim kodem i szczegóły ktoś szuka zalogować. Nigdy nie natknąłem się na ten problem aż do wersji iOS 11. Nawet wróciłem i potwierdziłem, że to automatycznie działa poprzez iOS 10.

Nigdy wcześniej nie musiałem dotykać tego panelu ustawień, ponieważ wszystkie zainstalowane certyfikaty były automatycznie zaufane. Być może zmieni się w czasie, gdy iOS 11 będzie dostarczany, ale wątpię w to. Mam nadzieję, że pomoże to uratować komuś czas, który zmarnowałem.

Jeśli ktoś wie, dlaczego zachowuje się inaczej w przypadku niektórych osób w różnych wersjach systemu iOS, chciałbym to wiedzieć w komentarzach.

Answer 2

Zdarzyło się to również po tym, jak odwróciłem się na IOS11 na moim iPhonie. Kiedy próbuję połączyć się z siecią korporacyjną, wywołuje ona korporacyjny certyfikat i mówi, że nie jest zaufany. Naciskam przycisk "Zaufanie", a połączenie nie powiedzie się, a certyfikat nie pojawi się na liście zaufanych certyfikatów.

Answer 3

Ręka Apple trzy kategorie certyfikatów: Trusted, Always Ask i Blocked. Napotkasz problem, jeśli typ certyfikatu znajduje się na liście Blocked i Always Ask. Na Safari to show lubię:

i można znaleźć typ Always Ask certyfikatów w Ustawienia> Ogólne> O> Certyfikat Zaufanie Ustawienie

Jest List of available trusted root certificates in iOS 11

Blocking Trust for WoSign CA Free SSL Certificate G2

Answer 4

Zalecane rozwiązanie jest instalacja i zaufanie certyfikatu z podpisem własnym (root). Zakładając, że utworzyłeś własny urząd certyfikacji, a hierarchia certyfikatów jest poprawna, nie musisz zmieniać oceny zaufania serwera. Jest to zalecane, ponieważ nie wymaga żadnych zmian w kodzie.

1. Generowanie CA i certyfikatów (można użyć OpenSSL. Generating CA and self-signed certificates
2. zainstalować certyfikat główny (plik * .cer) na urządzeniu - można otworzyć go przez Safari i powinien przekierować cię do Ustawienia
3. Kiedy certyfikat jest zainstalowany, przejdź do świadectwa ustawień zaufania (Ustawienia> Ogólne> O> certyfikat ustawienia zaufania), jak w MattP odpowiedź.

Jeśli nie jest to możliwe, to trzeba zmienić ocenę zaufania serwera.

Więcej informacji w tym dokumencie: Technical Q&A QA1948 HTTPS and Test Servers