ssl - iOS 9 应用程序从 Amazon S3 下载 SSL 错误 : TLS 1. 2 支持

Question

我明白了

An SSL error has occurred and a secure connection to the server cannot be made.

在 iOS 9 上，如果我尝试从 amazon s3 下载文件: https://s3.amazonaws.com/xyz/qer/IMG_0001.JPG

据我了解，Amazon s3 支持 TLS 1.2参见:https://forums.aws.amazon.com/thread.jspa?threadID=192512

此时 S3 和 Kinesis 支持 TLS 1.2。

“S3 和 Kinesis 目前支持 TLS 1.2。” 2015 年 8 月 23 日晚上 9:19

不确定为什么我会收到此 SSL 错误。该帐户应配置为利用 TLS 1.2？我猜这应该是默认“开启”的。

我不想把这个域放在信息列表中。

编辑:我最终使用了

<key>NSAppTransportSecurity</key> 
<dict> 
  <key>NSExceptionDomains</key> 
  <dict> 
    <key>s3.amazonaws.com</key> 
    <dict> 
      <key>NSExceptionRequiresForwardSecrecy</key> 
        <false/> 
      <key>NSIncludesSubdomains</key> 
        <true/> 
    </dict> 
  </dict> 
</dict>

Answer 1

编辑 2016-01-03:s3.amazonaws.com 的更新证书使用 SHA256 算法并符合 ATS 要求。

原回答:s3.amazonaws.com使用了不符合ATS要求的SHA1证书，导致硬故障。根据 App Transport Security Technote , iOS9中的ATS有如下要求:

1. The server must support at least Transport Layer Security (TLS) protocol version 1.2.

2. Connection ciphers are limited to those that provide forward secrecy, namely,

   TLS_ECDHE_ECDSA_WITH_AES_256_GCM_SHA384 TLS_ECDHE_ECDSA_WITH_AES_128_GCM_SHA256 TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA384 TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA256 TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384 TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256 TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA384 TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256 TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA

3. 证书必须使用 SHA256 或更好的签名哈希算法，以及 2048 位或更大的 RSA key 或 256 位或更大的椭圆曲线 (ECC) key 来签名。

无效的证书会导致硬故障并且无法连接。

SSL Labs 的 SSL 服务器测试 (https://www.ssllabs.com/ssltest/analyze.html?d=s3.amazonaws.com) 包括 iOS 9 中 ATS 的握手模拟，表明 s3.amazonaws.com 失败。