仅与 https 通信的 iOS 应用程序和 Apple Transport Security Impact

Question

我的问题与 Apple Transport Security (ATS) 有关，它对我的​​配置有影响。如果我不遵守它会发生什么，我感到很困惑。

我有一个 iOS 应用程序，它与一个服务器和一个仅强制执行 https 连接的 API 通信，但同时我有 TLS1.0 和 SHA256 以及未启用前向保密的密码套件在我的配置上。

如果我继续通过以下方式绕过 ATS:

<key>NSAppTransportSecurity</key>
<dict>
    <key>NSAllowsArbitraryLoads</key>
    <true/>
</dict>

ATS 文档中让我感到困惑的是:

Disabling ATS allows connection regardless of HTTP or HTTPS configuration, allows connection to servers with lower TLS versions, and allows connection using cipher suites that do not support forward secrecy (FS).

这是否意味着我的应用程序和我的服务器仍将继续通过 https 进行通信而没有副作用？即连接不会仅仅因为我的服务器始终强制执行 https 但目前不符合 ATS 而失败。

换句话说，我是否必须立即升级我的服务器以支持 TLS1.2、前向保密和其他 ATS 要求？假设我要使用 iOS 9 和最新的 XCode 更新我的应用程序。

另一方面，我明白我应该采用ATS，但目前时间和资源有限。

Answer 1

您不必立即升级您的服务器。您也不必完全关闭 ATS。

相反，您可以在您的 info.plist 中告诉 ATS 您的服务器使用 TLSv1 并且不支持 FS:

<key>NSAppTransportSecurity</key>
<dict>
    <key>NSAllowsArbitraryLoads</key>
    <false/>
    <key>NSExceptionDomains</key>
    <dict>
        <key>your.servers.domain.here</key>
        <dict>
            <key>NSIncludesSubdomains</key>
            <true/>
            <key>NSExceptionRequiresForwardSecrecy</key>
            <false/>
            <key>NSExceptionMinimumTLSVersion</key>
            <string>TLSv1.0</string>
        </dict>
    </dict>
</dict>

nscurl --ats-diagnostics --verbose $YOUR_API_URL 将帮助您找出真正需要指定的内容，以便与您的服务器对话。