CFNetwork SSLHandshake ist unter iOS 9 fehlgeschlagen

Hat jemand mit iOS 9 Beta 1 dieses Problem gehabt?

Ich verwende Standard-NSURLConnection, um eine Verbindung zu einem Webservice herzustellen, und sobald der Webservice aufgerufen wird, wird der folgende Fehler angezeigt. Dies funktioniert derzeit in iOS 8.3

Möglicher Beta-Bug? Ideen oder Gedanken wären toll! Ich weiß, dass es sehr früh in der iOS 9-Entwicklung ist

Hier ist der vollständige Fehler:

CFNetwork SSLHandshake fehlgeschlagen (-9824) HTTP-Laden von NSURLSession / NSURLConnection fehlgeschlagen (kCFStreamErrorDomainSSL, -9824)

 NSURLRequest * urlRequest = [NSURLRequest requestWithURL:[NSURL URLWithString:@"https://mywebserviceurl"]];
        NSURLResponse * response = nil;
        NSError * error = nil;
        NSData * data = [NSURLConnection sendSynchronousRequest:urlRequest
                                                  returningResponse:&response
                                                              error:&error];

iOS 9 und OSX 10.11 erfordern TLSv1.2-SSL für alle Hosts, von denen Sie Daten anfordern möchten, es sei denn, Sie geben in der Info.plist-Datei Ihrer App Ausnahmedomänen an.

Die Syntax für die Info.plist-Konfiguration sieht folgendermaßen aus:

<key>NSAppTransportSecurity</key>
<dict>
  <key>NSExceptionDomains</key>
  <dict>
    <key>yourserver.com</key>
    <dict>
      <!--Include to allow subdomains-->
      <key>NSIncludesSubdomains</key>
      <true/>
      <!--Include to allow insecure HTTP requests-->
      <key>NSExceptionAllowsInsecureHTTPLoads</key>
      <true/>
      <!--Include to specify minimum TLS version-->
      <key>NSExceptionMinimumTLSVersion</key>
      <string>TLSv1.1</string>
    </dict>
  </dict>
</dict>

Wenn Ihre Anwendung (z. B. ein Webbrowser eines Drittanbieters) eine Verbindung zu beliebigen Hosts herstellen muss, können Sie sie folgendermaßen konfigurieren:

<key>NSAppTransportSecurity</key>
<dict>
    <!--Connect to anything (this is probably BAD)-->
    <key>NSAllowsArbitraryLoads</key>
    <true/>
</dict>

Wenn Sie dies tun müssen, ist es wahrscheinlich am besten, Ihre Server für die Verwendung von TLSv1.2 und SSL zu aktualisieren, sofern dies noch nicht geschehen ist. Dies sollte als vorübergehende Problemumgehung betrachtet werden.

Bis heute werden in der Dokumentation zur Vorabversion keine dieser Konfigurationsoptionen in irgendeiner Weise erwähnt. Sobald dies der Fall ist, aktualisiere ich die Antwort, um auf die entsprechende Dokumentation zu verlinken.

In iOS 10+ MUSS die TLS-Zeichenfolge die Form "TLSv1.0" haben. Es kann nicht einfach "1.0" sein. (Seufzer)

Die folgende Kombination der anderen Antworten funktioniert.

Angenommen, Sie versuchen, eine Verbindung zu einem Host (YOUR_HOST.COM) herzustellen, der nur TLS 1.0 enthält.

Fügen Sie diese zur Info.plist Ihrer App hinzu

<key>NSAppTransportSecurity</key>
<dict>
    <key>NSExceptionDomains</key>
    <dict>
        <key>YOUR_HOST.COM</key>
        <dict>
            <key>NSIncludesSubdomains</key>
            <true/>
            <key>NSTemporaryExceptionAllowsInsecureHTTPLoads</key>
            <true/>
            <key>NSTemporaryExceptionMinimumTLSVersion</key>
            <string>TLSv1.0</string>
            <key>NSTemporaryExceptionRequiresForwardSecrecy</key>
            <false/>
        </dict>
    </dict>
</dict>

Weitere Informationen Konfigurieren von Sicherheitsausnahmen für den App-Transport in iOS 9 und OSX 10.11

Seltsamerweise werden Sie feststellen, dass die Verbindung versucht, das http-Protokoll in https zu ändern, um sich vor Fehlern in Ihrem Code zu schützen, bei denen Sie die URL möglicherweise versehentlich falsch konfiguriert haben. In einigen Fällen funktioniert dies möglicherweise tatsächlich, ist aber auch verwirrend.

Dieser Versand einer App mit App Transport Security enthält einige gute Debugging-Tipps

ATS-Fehler

Die meisten ATS-Fehler werden als CFErrors mit einem Code der Serie -9800 angezeigt. Diese sind im Header Security / SecureTransport.h definiert

2015-08-23 06:34:42.700 SelfSignedServerATSTest[3792:683731] NSURLSession/NSURLConnection HTTP load failed (kCFStreamErrorDomainSSL, -9813)

CFNETWORK_DIAGNOSTICS

Setzen Sie die Umgebungsvariable CFNETWORK_DIAGNOSTICS auf 1, um weitere Informationen über den Fehler in der Konsole zu erhalten

nscurl

Das Tool durchläuft verschiedene Kombinationen von ATS-Ausnahmen, versucht unter jeder ATS-Konfiguration eine sichere Verbindung zum angegebenen Host herzustellen und meldet das Ergebnis.

nscurl --ats-diagnostics https://example.com

Wenn Ihr Backend eine sichere Verbindung verwendet, verwenden Sie NSURLSession

CFNetwork SSLHandshake failed (-9801)
NSURLSession/NSURLConnection HTTP load failed (kCFStreamErrorDomainSSL, -9801)

Sie müssen Ihre Serverkonfiguration überprüfen, um Informationen zur ATS-Version und zum SSL-Zertifikat zu erhalten:

Anstatt nur eine unsichere Verbindung durch Festlegen zuzulassenNSExceptionAllowsInsecureHTTPLoads = YES , müssen Sie stattdessen eine verminderte Sicherheit zulassen, falls Ihr Server die Mindestanforderungen (v1.2) für ATS nicht erfüllt (oder besser, um die Serverseite zu reparieren).

Verringerte Sicherheit für einen einzelnen Server zulassen

<key>NSExceptionDomains</key>
<dict>
    <key>api.yourDomaine.com</key>
    <dict>
        <key>NSExceptionMinimumTLSVersion</key>
        <string>TLSv1.0</string>
        <key>NSExceptionRequiresForwardSecrecy</key>
        <false/>
    </dict>
</dict>

Verwenden Sie den openssl-Client, um das Zertifikat zu untersuchen und Ihre Serverkonfiguration mithilfe des openssl-Clients abzurufen:

openssl s_client  -connect api.yourDomaine.com:port //(you may need to specify port or  to try with https://... or www.)

..find am Ende

SSL-Session:
    Protocol  : TLSv1
    Cipher    : AES256-SHA
    Session-ID: //
    Session-ID-ctx: 
    Master-Key: //
    Key-Arg   : None
    Start Time: 1449693038
    Timeout   : 300 (sec)
    Verify return code: 0 (ok)

Für App Transport Security (ATS) ist das TLS-Protokoll (Transport Layer Security) Version 1.2 erforderlich.

Voraussetzungen für die Verbindung mit ATS:

Die Anforderungen für eine Webdienstverbindung zur Verwendung von App Transport Security (ATS) umfassen den Server, die Verbindungschiffren und die Zertifikate wie folgt:

Zertifikate müssen mit einem der folgenden Schlüsseltypen signiert sein:

• Secure Hash Algorithm 2 (SHA-2) -Schlüssel mit einer Digest-Länge von mindestens 256 (dh SHA-256 oder höher)

• ECC-Schlüssel (Elliptic-Curve Cryptography) mit einer Größe von mindestens 256 Bit

• Rivest-Shamir-Adleman (RSA) -Schlüssel mit einer Länge von mindestens 2048 Bit Ein ungültiges Zertifikat führt zu einem harten Fehler und keiner Verbindung.

Die folgenden Verbindungschiffren unterstützen Forward Secrecy (FS) und arbeiten mit ATS:

TLS_ECDHE_ECDSA_WITH_AES_256_GCM_SHA384 TLS_ECDHE_ECDSA_WITH_AES_128_GCM_SHA256 TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA384 TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA256 TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384 TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256 TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA384 TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256 TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA

Update: Es stellt sich heraus, dass openssl nur die minimale Protokollversion bereitstellt. Protokoll: TLSv1- Links

Nach zwei Tagen voller Versuche und Misserfolge hat dieser Code von für mich funktioniert voller Womble- funktioniert

Mit einer Änderung sollten wir gemäß diesem Beitrag die Verwendung von Unterschlüsseln einstellen, die dem NSExceptionDomains- Wörterbuch dieser Art von Konvention zugeordnet sind

  NSTemporaryExceptionMinimumTLSVersion

Und verwenden Sie auf der neuen Konvention

  NSExceptionMinimumTLSVersion

stattdessen.

Apfeldokumentation

mein Code

<key>NSAppTransportSecurity</key>
    <dict>
        <key>NSExceptionDomains</key>
        <dict>
            <key>YOUR_HOST.COM</key>
            <dict>
                <key>NSExceptionAllowsInsecureHTTPLoads</key>
                <true/>
                <key>NSExceptionMinimumTLSVersion</key>
                <string>TLSv1.0</string>
                <key>NSExceptionRequiresForwardSecrecy</key>
                <false/>
                <key>NSIncludesSubdomains</key>
                <true/>
            </dict>
        </dict>
    </dict>

Ein weiteres nützliches Tool ist nmap (Brew Install nmap)

nmap --script ssl-enum-ciphers -p 443 google.com

Gibt Ausgabe

Starting Nmap 7.12 ( https://nmap.org ) at 2016-08-11 17:25 IDT
Nmap scan report for google.com (172.217.23.46)
Host is up (0.061s latency).
Other addresses for google.com (not scanned): 2a00:1450:4009:80a::200e
PORT    STATE SERVICE
443/tcp open  https
| ssl-enum-ciphers: 
|   TLSv1.0: 
|     ciphers: 
|       TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA (secp256r1) - A
|       TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA (secp256r1) - A
|       TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA (secp256r1) - A
|       TLS_RSA_WITH_AES_128_CBC_SHA (rsa 2048) - A
|       TLS_RSA_WITH_3DES_EDE_CBC_SHA (rsa 2048) - C
|       TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA (secp256r1) - A
|       TLS_RSA_WITH_AES_256_CBC_SHA (rsa 2048) - A
|     compressors: 
|       NULL
|     cipher preference: server
|   TLSv1.1: 
|     ciphers: 
|       TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA (secp256r1) - A
|       TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA (secp256r1) - A
|       TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA (secp256r1) - A
|       TLS_RSA_WITH_AES_128_CBC_SHA (rsa 2048) - A
|       TLS_RSA_WITH_3DES_EDE_CBC_SHA (rsa 2048) - C
|       TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA (secp256r1) - A
|       TLS_RSA_WITH_AES_256_CBC_SHA (rsa 2048) - A
|     compressors: 
|       NULL
|     cipher preference: server
|   TLSv1.2: 
|     ciphers: 
|       TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA (secp256r1) - A
|       TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA256 (secp256r1) - A
|       TLS_ECDHE_ECDSA_WITH_AES_128_GCM_SHA256 (secp256r1) - A
|       TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA (secp256r1) - A
|       TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA384 (secp256r1) - A
|       TLS_ECDHE_ECDSA_WITH_AES_256_GCM_SHA384 (secp256r1) - A
|       TLS_ECDHE_ECDSA_WITH_CHACHA20_POLY1305_SHA256 (secp256r1) - A
|       TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA (secp256r1) - A
|       TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256 (secp256r1) - A
|       TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256 (secp256r1) - A
|       TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA (secp256r1) - A
|       TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA384 (secp256r1) - A
|       TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384 (secp256r1) - A
|       TLS_ECDHE_RSA_WITH_CHACHA20_POLY1305_SHA256 (secp256r1) - A
|       TLS_RSA_WITH_3DES_EDE_CBC_SHA (rsa 2048) - C
|       TLS_RSA_WITH_AES_128_CBC_SHA (rsa 2048) - A
|       TLS_RSA_WITH_AES_128_CBC_SHA256 (rsa 2048) - A
|       TLS_RSA_WITH_AES_128_GCM_SHA256 (rsa 2048) - A
|       TLS_RSA_WITH_AES_256_CBC_SHA (rsa 2048) - A
|       TLS_RSA_WITH_AES_256_CBC_SHA256 (rsa 2048) - A
|       TLS_RSA_WITH_AES_256_GCM_SHA384 (rsa 2048) - A
|     compressors: 
|       NULL
|     cipher preference: client
|_  least strength: C

Nmap done: 1 IP address (1 host up) scanned in 5.48 seconds

Dieser Fehler wurde manchmal in den Protokollen angezeigt, wenn ich eine fehlerhafte / abstürzende Cordova iOS-Version verwendete. Es ging weg, als ich Cordova iOS aktualisierte oder herunterstufte.

Der Server, zu dem ich eine Verbindung herstellte, verwendete TLSv1.2 SSL, sodass ich wusste, dass dies nicht das Problem war.

Fügen Sie in Ihrer Projektdatei .plistdiese Berechtigung hinzu:

<key>NSAppTransportSecurity</key>
<dict>
    <!--Connect to anything (this is probably BAD)-->
    <key>NSAllowsArbitraryLoads</key>
    <true/>
</dict>

Die Syntax für die Info.plist-Konfiguration

   <key>NSAppTransportSecurity</key>
   <dict>
   <key>NSExceptionDomains</key>
    <dict>
    <key>yourserver.com</key>
   <dict>
  <!--Include to allow subdomains-->
  <key>NSIncludesSubdomains</key>
  <true/>
  <!--Include to allow insecure HTTP requests-->
  <key>NSExceptionAllowsInsecureHTTPLoads</key>
  <true/>
  <!--Include to specify minimum TLS version-->
  <key>NSExceptionMinimumTLSVersion</key>
  <string>TLSv1.1</string>
   </dict>
 </dict>

Aktualisierte Antwort (nach WWDC 2016):

Für iOS-Apps sind bis Ende 2016 sichere HTTPS-Verbindungen erforderlich. Wenn Sie ATS deaktivieren, wird Ihre App möglicherweise in Zukunft abgelehnt.

App Transport Security (ATS) ist eine Funktion, die Apple in iOS 9 eingeführt hat. Wenn ATS aktiviert ist, wird eine App gezwungen, über eine HTTPS-Verbindung eine Verbindung zu Webdiensten herzustellen, anstatt über nicht sicheres HTTP.

Entwickler können ATS jedoch weiterhin ausschalten und ihren Apps erlauben, Daten über eine HTTP-Verbindung zu senden, wie in den obigen Antworten erwähnt. Ende 2016 wird Apple ATS für alle Entwickler verbindlich machen , die hoffen, ihre Apps im App Store einzureichen. Verknüpfung

Das Gerät, bei dem ich getestet habe, hatte eine falsche Zeit eingestellt. Wenn ich also versuchte, auf eine Seite mit einem Zertifikat zuzugreifen, das bald leer sein würde, wurde der Zugriff verweigert, da das Gerät, obwohl das Zertifikat abgelaufen war. Stellen Sie zum Beheben die richtige Zeit am Gerät ein!