security - iOS 11 : ATS (App Transport Security) no longer accepts custom anchor certs?

Question

我正在使用 NSMutableURLRequest 租用自签名证书并且当使用带有 SecTrustSetAnchorCertificates 的自定义证书锚定证书时IOS 11失败并显示以下错误消息:

refreshPreferences: HangTracerEnabled: 1
refreshPreferences: HangTracerDuration: 500
refreshPreferences: ActivationLoggingEnabled: 0 ActivationLoggingTaskedOffByDA:0
ATS failed system trust
System Trust failed for [1:0x1c417dc40]
TIC SSL Trust Error [1:0x1c417dc40]: 3:0
NSURLSession/NSURLConnection HTTP load failed (kCFStreamErrorDomainSSL, -9802)
Task <721D712D-FDBD-4F52-8C9F-EEEA28104E73>.<1> HTTP load failed (error code: -1200 [3:-9802])
Task <721D712D-FDBD-4F52-8C9F-EEEA28104E73>.<1> finished with error - code: -1200

曾经为 IOS 10 工作的东西不再适用于 IOS 11 .
我知道 IOS 11不再支持以下内容:

RC4 3DES-CBC AES-CBC

MD5 SHA-1

<2048 位 RSA 公钥 - 到服务器的所有 TLS 连接

http://

SSLv3

TLS 1.0

TLS 1.1

并且证书不使用这些，除了一个指纹，即 SHA-1 , 但是一个 SHA-256指纹也列出来了。
通过添加以下内容，我们可以绕过 ATS(App Transport Security)错误:

<key>NSAppTransportSecurity</key>
<dict>
        <key>NSExceptionDomains</key>
        <dict>
            <key>mydomain.example</key>
            <dict>
                <!--Include to allow subdomains-->
                <key>NSIncludesSubdomains</key>
                <true/>
                <key>NSExceptionRequiresForwardSecrecy</key>
                <false/>
            </dict>
        </dict>
</dict>

通过将根/ anchor 证书安装到手机本身也可以工作，而无需将 mydomain.example 列入白名单。 .
这是否意味着 ATS 不再支持自签名证书？
以下工作在 IOS 10 :

SecTrustSetAnchorCertificates(serverTrust, (__bridge CFArrayRef)certs);

使用 nscurl在 Mac 上显示许多故障，并且在将根证书安装到“系统” keystore 后， nscurl成功。
我在 macOS 10.12.6 上做了这个.

nscurl --verbose --ats-diagnostics https://

如何使用自定义证书使其工作，但无需安装证书或将域列入白名单？

Answer 1

前段时间 macOS 开始强制要求 CA 证书也不能用作终端实体(例如网络服务器)证书。 iOS有可能在10到11之间添加了这个要求吗？
如果是这样，解决方法很简单:创建自签名 CA 证书，并使用该证书颁发网络服务器证书。 CA 证书 (basicConstraints: CA=True) 是您信任库中的信任 anchor ；最终实体证书(省略 basicConstraints；extendedKeyUsage=serverAuth)由 Web 服务器提供。只是不允许您再对两者使用完全相同的证书。
(这应该是一条评论，但我还没有足够的评论点数。)