Come utilizzare NSURLConnection per connettersi con SSL per un certificato non attendibile?

Ho il seguente semplice codice per connettermi a una pagina Web SSL

NSMutableURLRequest *urlRequest=[NSMutableURLRequest requestWithURL:url];
[ NSURLConnection sendSynchronousRequest: urlRequest returningResponse: nil error: &error ];

Tranne che dà un errore se il certificato è autofirmato Error Domain=NSURLErrorDomain Code=-1202 UserInfo=0xd29930 "untrusted server certificate".C'è un modo per impostarlo per accettare le connessioni comunque (proprio come in un browser è possibile premere accetta) o un modo per bypassarlo?

C'è un'API supportata per raggiungere questo obiettivo! Aggiungi qualcosa del genere al tuo NSURLConnectiondelegato:

- (BOOL)connection:(NSURLConnection *)connection canAuthenticateAgainstProtectionSpace:(NSURLProtectionSpace *)protectionSpace {
  return [protectionSpace.authenticationMethod isEqualToString:NSURLAuthenticationMethodServerTrust];
}

- (void)connection:(NSURLConnection *)connection didReceiveAuthenticationChallenge:(NSURLAuthenticationChallenge *)challenge {
  if ([challenge.protectionSpace.authenticationMethod isEqualToString:NSURLAuthenticationMethodServerTrust])
    if ([trustedHosts containsObject:challenge.protectionSpace.host])
      [challenge.sender useCredential:[NSURLCredential credentialForTrust:challenge.protectionSpace.serverTrust] forAuthenticationChallenge:challenge];

  [challenge.sender continueWithoutCredentialForAuthenticationChallenge:challenge];
}

Nota che connection:didReceiveAuthenticationChallenge:puoi inviare il suo messaggio a challenge.sender (molto) in seguito, dopo aver presentato una finestra di dialogo all'utente, se necessario, ecc.

Se non sei disposto (o non riesci) a utilizzare API private, esiste una libreria open source (licenza BSD) chiamata ASIHTTPRequest che fornisce un wrapper al livello inferiore CFNetwork APIs. Di recente hanno introdotto la possibilità di consentire l' HTTPS connectionsutilizzo di certificati autofirmati o non attendibili con l' -setValidatesSecureCertificate:API. Se non si desidera inserire l'intera libreria, è possibile utilizzare l'origine come riferimento per l'implementazione della stessa funzionalità.

Idealmente, ci dovrebbero essere solo due scenari in cui un'applicazione iOS dovrebbe accettare un certificato non attendibile.

Scenario A: si è connessi a un ambiente di test che utilizza un certificato autofirmato.

Scenario B: si sta eseguendo HTTPSil proxy del traffico utilizzando a MITM Proxy like Burp Suite, Fiddler, OWASP ZAP, etc.The Proxies verrà restituito un certificato firmato da una CA autofirmata in modo che il proxy sia in grado di acquisire il HTTPStraffico.

Gli host di produzione non devono mai utilizzare certificati non attendibili per ovvi motivi .

Se è necessario che il simulatore iOS accetti un certificato non attendibile a scopo di test, si consiglia vivamente di non modificare la logica dell'applicazione per disabilitare la convalida del certificato integrata fornita dalle NSURLConnectionAPI. Se l'applicazione viene rilasciata al pubblico senza rimuovere questa logica, sarà suscettibile agli attacchi man-in-the-middle.

Il modo consigliato per accettare certificati non attendibili a scopo di test è importare il certificato dell'autorità di certificazione (CA) che ha firmato il certificato sul simulatore iOS o sul dispositivo iOS. Ho scritto un breve post sul blog che dimostra come fare ciò che un simulatore iOS su:

accettare certificati non attendibili utilizzando il simulatore ios

NSURLRequestha un metodo privato chiamato setAllowsAnyHTTPSCertificate:forHost:, che farà esattamente quello che ti piacerebbe. È possibile definire il allowsAnyHTTPSCertificateForHost:metodo su NSURLRequesttramite una categoria e impostarlo per la restituzione YESper l'host che si desidera sostituire.

A complemento della risposta accettata, per una sicurezza molto migliore, è possibile aggiungere il certificato del server o il proprio certificato CA radice al portachiavi ( https://stackoverflow.com/a/9941559/1432048 ), tuttavia farlo da soli non renderà NSURLConnection autenticare automaticamente il server autofirmato. Devi ancora aggiungere il seguente codice al tuo delegato NSURLConnection, è copiato dal codice di esempio Apple AdvancedURLConnections e devi aggiungere due file (Credentials.h, Credentials.m) dal codice di esempio Apple ai tuoi progetti.

- (BOOL)connection:(NSURLConnection *)connection canAuthenticateAgainstProtectionSpace:(NSURLProtectionSpace *)protectionSpace {
return [protectionSpace.authenticationMethod isEqualToString:NSURLAuthenticationMethodServerTrust];
}

- (void)connection:(NSURLConnection *)connection didReceiveAuthenticationChallenge:(NSURLAuthenticationChallenge *)challenge {
if ([challenge.protectionSpace.authenticationMethod isEqualToString:NSURLAuthenticationMethodServerTrust]) {
//        if ([trustedHosts containsObject:challenge.protectionSpace.host])

    OSStatus                err;
    NSURLProtectionSpace *  protectionSpace;
    SecTrustRef             trust;
    SecTrustResultType      trustResult;
    BOOL                    trusted;

    protectionSpace = [challenge protectionSpace];
    assert(protectionSpace != nil);

    trust = [protectionSpace serverTrust];
    assert(trust != NULL);
    err = SecTrustEvaluate(trust, &trustResult);
    trusted = (err == noErr) && ((trustResult == kSecTrustResultProceed) || (trustResult == kSecTrustResultUnspecified));

    // If that fails, apply our certificates as anchors and see if that helps.
    //
    // It's perfectly acceptable to apply all of our certificates to the SecTrust
    // object, and let the SecTrust object sort out the mess.  Of course, this assumes
    // that the user trusts all certificates equally in all situations, which is implicit
    // in our user interface; you could provide a more sophisticated user interface
    // to allow the user to trust certain certificates for certain sites and so on).

    if ( ! trusted ) {
        err = SecTrustSetAnchorCertificates(trust, (CFArrayRef) [Credentials sharedCredentials].certificates);
        if (err == noErr) {
            err = SecTrustEvaluate(trust, &trustResult);
        }
        trusted = (err == noErr) && ((trustResult == kSecTrustResultProceed) || (trustResult == kSecTrustResultUnspecified));
    }
    if(trusted)
        [challenge.sender useCredential:[NSURLCredential credentialForTrust:challenge.protectionSpace.serverTrust] forAuthenticationChallenge:challenge];
}

[challenge.sender continueWithoutCredentialForAuthenticationChallenge:challenge];
}

Non posso prendermi il merito per questo, ma questo che ho trovato ha funzionato davvero bene per le mie esigenze. shouldAllowSelfSignedCertè la mia BOOLvariabile. Basta aggiungere al tuo NSURLConnectiondelegato e dovresti essere rockin per un bypass rapido in base alla connessione.

- (BOOL)connection:(NSURLConnection *)connection canAuthenticateAgainstProtectionSpace:(NSURLProtectionSpace *)space {
     if([[space authenticationMethod] isEqualToString:NSURLAuthenticationMethodServerTrust]) {
          if(shouldAllowSelfSignedCert) {
               return YES; // Self-signed cert will be accepted
          } else {
               return NO;  // Self-signed cert will be rejected
          }
          // Note: it doesn't seem to matter what you return for a proper SSL cert
          //       only self-signed certs
     }
     // If no other authentication is required, return NO for everything else
     // Otherwise maybe YES for NSURLAuthenticationMethodDefault and etc.
     return NO;
}

In iOS 9, le connessioni SSL falliranno per tutti i certificati non validi o autofirmati. Questo è il comportamento predefinito della nuova funzionalità di sicurezza del trasporto app in iOS 9.0 o versioni successive e su OS X 10.11 e versioni successive.

È possibile ignorare questo comportamento in Info.plist, impostando NSAllowsArbitraryLoadssu YESnel NSAppTransportSecuritydizionario. Tuttavia, raccomando di ignorare questa impostazione solo a scopo di test.

Per informazioni, consultare Technote di trasporto app qui .

La soluzione alternativa alla categoria pubblicata da Nathan de Vries supererà i controlli API privati ​​AppStore ed è utile nei casi in cui non si ha il controllo NSUrlConnectiondell'oggetto. Un esempio è NSXMLParserche aprirà l'URL fornito, ma non esporrà NSURLRequesto NSURLConnection.

In iOS 4 la soluzione sembra ancora funzionare, ma solo sul dispositivo, il simulatore non invoca più il allowsAnyHTTPSCertificateForHost:metodo.

Devi usare NSURLConnectionDelegateper consentire le connessioni HTTPS e ci sono nuovi callback con iOS8.

deprecato:

connection:canAuthenticateAgainstProtectionSpace:
connection:didCancelAuthenticationChallenge:
connection:didReceiveAuthenticationChallenge:

Invece quelli, è necessario dichiarare:

connectionShouldUseCredentialStorage: - Inviato per determinare se il caricatore URL deve utilizzare l'archivio credenziali per autenticare la connessione.

connection:willSendRequestForAuthenticationChallenge: - Indica al delegato che la connessione invierà una richiesta per una richiesta di autenticazione.

Con willSendRequestForAuthenticationChallengete puoi usare challengecome hai fatto con i metodi obsoleti, ad esempio:

// Trusting and not trusting connection to host: Self-signed certificate
[challenge.sender useCredential:[NSURLCredential credentialForTrust:challenge.protectionSpace.serverTrust] forAuthenticationChallenge:challenge];
[challenge.sender continueWithoutCredentialForAuthenticationChallenge:challenge];

Ho pubblicato un codice gist (basato sul lavoro di qualcun altro che noto) che ti consente di autenticarti correttamente rispetto a un certificato auto generato (e come ottenere un certificato gratuito - vedi i commenti in fondo a Cocoanetics )

Il mio codice è qui github

Se vuoi continuare a usare sendSynchronousRequest, lavoro in questa soluzione:

FailCertificateDelegate *fcd=[[FailCertificateDelegate alloc] init];

NSURLConnection *c=[[NSURLConnection alloc] initWithRequest:request delegate:fcd startImmediately:NO];
[c setDelegateQueue:[[NSOperationQueue alloc] init]];
[c start];    
NSData *d=[fcd getData];

puoi vederlo qui: Connessione sincrona SSL Objective-C

Con AFNetworking ho consumato con successo il servizio web https con il codice seguente,

NSString *aStrServerUrl = WS_URL;

// Initialize AFHTTPRequestOperationManager...
AFHTTPRequestOperationManager *manager = [AFHTTPRequestOperationManager manager];
manager.requestSerializer = [AFJSONRequestSerializer serializer];
manager.responseSerializer = [AFJSONResponseSerializer serializer];

[manager.requestSerializer setValue:@"application/json" forHTTPHeaderField:@"Content-Type"];
manager.securityPolicy.allowInvalidCertificates = YES; 
[manager POST:aStrServerUrl parameters:parameters success:^(AFHTTPRequestOperation *operation, id responseObject)
{
    successBlock(operation, responseObject);

} failure:^(AFHTTPRequestOperation *operation, NSError *error)
{
    errorBlock(operation, error);
}];

Puoi usare questo codice

-(void)connection:(NSURLConnection *)connection willSendRequestForAuthenticationChallenge:(NSURLAuthenticationChallenge *)challenge
{
     if ([[challenge protectionSpace] authenticationMethod] == NSURLAuthenticationMethodServerTrust)
     {
         [[challenge sender] useCredential:[NSURLCredential credentialForTrust:[[challenge protectionSpace] serverTrust]] forAuthenticationChallenge:challenge];
     }
}

Utilizzare al -connection:willSendRequestForAuthenticationChallenge:posto di questi metodi obsoleti

deprecato:

-(BOOL)connection:(NSURLConnection *)connection canAuthenticateAgainstProtectionSpace:(NSURLProtectionSpace *)protectionSpace  
-(void)connection:(NSURLConnection *)connection didReceiveAuthenticationChallenge:(NSURLAuthenticationChallenge *)challenge 
-(void)connection:(NSURLConnection *)connection didCancelAuthenticationChallenge:(NSURLAuthenticationChallenge *)challenge