NSURLSession - Игнорировать предупреждение сертификата SSL

Question

Я работаю над iOS 8+ App, которое должно позволить пользователям общаться с WebService на своих серверах. Разумеется, использование HTTPS-соединения было бы оптимальным для этого, но на самом деле будет много пользователей, которые не имеют (доверенного) SSL-сертификата на своем сервере.

Я хотел бы разрешить пользователям самостоятельно решать, хотят ли они использовать простой HTTP или HTTPS. Кроме того, HTTPS должен работать, даже если сервер имеет действующий SSL-сертификат. Так как сертификат «только» гарантирует подлинность сервера, но не имеет никакого влияния на шифрование соединения это сам, untrustes HTTPS подоконник имеет свои преимущества по сравнению с обычной HTTP:

• Я знаю, что сертификаты были изобретены хорошая причина
• Я знаю о рисках MITM атаки
• Я согласен, что с помощью действительного сертификата SSL будет лучшим вариантом
• Я все еще верю, что с помощью HTTPS без CERT должна быть вариантом для пользователей ,

Итак, как это сделать?

Сначала я работал с NSURLConnection sendAsynchronousRequest, но так как это не позволяет контролировать процесс проверки сертификата (и потому, что он устарел в iOS 9), я переключился на NSURLSession.

Я последовал Apples docs доверять своему серверу, но не имел успеха:

- (id)init { 
    ... 
    NSURLSessionConfiguration *sessionConfig = [NSURLSessionConfiguration defaultSessionConfiguration]; 
    session = [NSURLSession sessionWithConfiguration:sessionConfig delegate:self delegateQueue:[NSOperationQueue mainQueue]]; 
    ... 
} 


- (void)URLSession:(NSURLSession *)session task:(NSURLSessionTask *)task didReceiveChallenge:(NSURLAuthenticationChallenge *)challenge completionHandler:(void (^)(NSURLSessionAuthChallengeDisposition disposition, NSURLCredential *credential))completionHandler {  
    if ([challenge.protectionSpace.authenticationMethod isEqualToString:NSURLAuthenticationMethodServerTrust]) { 
     SecTrustRef trust = challenge.protectionSpace.serverTrust; 
     NSURLCredential *credential = [NSURLCredential credentialForTrust:trust]; 
     completionHandler(NSURLSessionAuthChallengeUseCredential, credential); 
    } else { 
     completionHandler(NSURLSessionAuthChallengePerformDefaultHandling, nil); 
    } 
} 

- (void)sendRequest:(NSURL *)URL { 
    NSURLRequest* request = [[NSURLRequest alloc] initWithURL:url]; 

    [[session dataTaskWithRequest:request completionHandler:^(NSData *data, NSURLResponse *response, NSError *error) { 
     if (error) { 
      // ERROR 
      --> Log error 
     } else { 
      // SUCCESS 
     } 
    }] resume]; 
} 

- (void)test { 
    // HTTP works fine 
    [self sendRequest:[NSURL URLWithString:@"http://my.test.page.xy"]]; 

    // Error with HTTPS 
    [self sendRequest:[NSURL URLWithString:@"https://my.test.page.xy"]]; 

    // Error Domain=NSURLErrorDomain 
    // Code=-1200 "An SSL error has occurred and a secure connection to the server cannot be made." 
    // UserInfo={ 
    //  _kCFStreamErrorCodeKey=-9824, 
    //  NSLocalizedRecoverySuggestion=Would you like to connect to the server anyway?, 
    //  NSUnderlyingError= { 
    //   Error Domain=kCFErrorDomainCFNetwork 
    //   Code=-1200 
    //   UserInfo={ 
    //    _kCFStreamPropertySSLClientCertificateState=0, 
    //    _kCFNetworkCFStreamSSLErrorOriginalValue=-9824, 
    //    _kCFStreamErrorDomainKey=3, 
    //    _kCFStreamErrorCodeKey=-9824 
    //   } 
    //  }, 
    //  NSLocalizedDescription=An SSL error has occurred and a secure connection to the server cannot be made., 
    //  NSErrorFailingURLKey=https://my.test.page.xy, 
    //  NSErrorFailingURLStringKey=https://my.test.page.xy, 
    //  _kCFStreamErrorDomainKey=3 
    // } 
} 

ли ручка я URLSession:session task:didReceiveChallenge:challenge completionHandler: или нет не имеет никакого значения. Ошибка такая же.

Итак, любая идея, как использовать HTTPS на серверах без сертификата? В соответствии с Apples docs это должно работать, не так ли?

Answer 1

Я думаю, что вы должны фактически оценить объект доверия один раз (хотя фактический результат этой оценки игнорируется).

С учетом сказанного, пожалуйста проверьте, чтобы убедиться, что это на самом деле ваш CERT, прежде чем принять его. См. Overriding SSL Chain Validation Correctly для примеров того, как это сделать.