iOS 9 ATS - Wyłącz poufność przekazywania we wszystkich domenach

Question

Po włączeniu funkcji ATS w systemie iOS 9 wielu moich klientów nie jest w stanie spełnić wymogu poufności transakcji. Mogą jednak spełniać wymagania https i TLS 1.2. W związku z tym chciałbym złagodzić wymagania dotyczące poufności, utrzymując jednocześnie https i TLS 1.2.

Zastanawiam się, czy ktoś ma wymyślony sposób na użycie NSExceptionRequiresForwardSecrecy lub NSThirdPartyExceptionRequiresForwardSecrecy w celu wyłączenia tajności przekazywania dla wszystkich domen.

Próbowałem użyć * dla NSExceptionDomains lub * .com, ale gdy użyłem tego linku problem nie działa. Kiedy używam domeny domain.com, zostanie załadowany link problemu. Patrzyłem na to na Apple Docs, ale nie widziałem żadnego sposobu na osiągnięcie mojego celu.

Czy można po prostu wyłączyć tajność przekazywania dla wszystkich domen, tak jak można całkowicie wyłączyć ATS, ustawiając NSAppTransportSecurity/NSAllowsArbitraryLoads na wartość true?

Dzięki!

Answer 1

Tak, jest to możliwe. Prawdopodobnie masz co najmniej jedną domenę, z którą na pewno będziesz się łączyć. Jeśli nie jest to prawdą, spróbuj użyć dowolnej wiarygodnej strony internetowej (google.com, facebook.com itp.). Należy dodać NSExceptionDomains regułę dla tej domeny, określając NSAppTransportSecurity konfigurację w następujący sposób:

<key>NSAppTransportSecurity</key> 
    <dict> 
     <key>NSExceptionDomains</key> 
     <dict> 
      <key>google.com</key> 
      <dict> 
       <key>NSIncludesSubdomains</key> 
       <true/>     
       <key>NSThirdPartyExceptionRequiresForwardSecrecy</key> 
       <false/> 
      </dict> 
     </dict> 
    </dict> 

FYI, aplikacje facebook wykorzystują te same konfiguracje NSAppTransportSecurity.

Answer 2

Jest to możliwe, spróbuj.

<key>NSAppTransportSecurity</key> 
<dict> 
    <key>NSAllowsArbitraryLoads</key> 
    <true/> 
</dict> 

Nawet można dodać specyficzny wyjątek,

<key>NSAppTransportSecurity</key> 
<dict> 
    <key>NSExceptionDomains</key> 
    <dict> 
     <key>testdomain.com</key> 
     <dict> 
      <key>NSIncludesSubdomains</key> 
      <false/> 
      <key>NSExceptionAllowInsecureHTTPSLoads</key> 
      <false/> 
      <key>NSExceptionRequiresForwardSecrecy</key> 
      <true/> 
      <key>NSExceptionMinimumTLSVersion</key> 
      <string>TLSv1.2</string> 
      <key>NSThirdPartyExceptionAllowInsecureHTTPSLoads</key> 
      <false/> 
      <key>NSThirdPartyExceptionRequiresForwardSecrecy</key> 
      <true/> 
      <key>NSThirdPartyExceptionMinimumTLSVersion</key> 
      <string>TLSv1.2</string> 
      <key>NSRequiresCertificateTransparency</key> 
      <false/> 
     </dict> 

     ... 

    </dict> 
</dict>