Die Transportsicherheit hat ein Klartext-HTTP blockiert

Welche Einstellung muss ich vornehmen, um info.plistden HTTP-Modus gemäß der folgenden Fehlermeldung zu aktivieren?

Die Transportsicherheit hat eine Klartext-HTTP-Ressourcenlast (http: //) blockiert, da sie unsicher ist. Temporäre Ausnahmen können über die Info.plist-Datei Ihrer App konfiguriert werden.

Angenommen, meine Domain ist example.com.

Wenn Sie Xcode 8.0+ und Swift 2.2+ oder sogar Ziel C verwenden:

<key>NSAppTransportSecurity</key>
<dict>
    <key>NSAllowsArbitraryLoads</key>
    <true/>
    <key>NSExceptionDomains</key>
    <dict>
        <key>example.com</key>
        <dict>
            <key>NSExceptionAllowsInsecureHTTPLoads</key>
            <true/>
            <key>NSIncludesSubdomains</key>
            <true/>
        </dict>
    </dict>
</dict>

Verwenden Sie NSAppTransportSecurity:

Sie haben die festlegen NSAllowsArbitraryLoads Schlüssel zum YES unter NSAppTransportSecurity Wörterbuch in Ihrer info.plist Datei.

Hier sind die Einstellungen visuell:

Siehe den Forumsbeitrag Application Transport Security? .

Auch die Seite Konfigurieren von Sicherheitsausnahmen für den App-Transport in iOS 9 und OSX 10.11 .

Sie können beispielsweise eine bestimmte Domain hinzufügen, z.

<key>NSAppTransportSecurity</key>
<dict>
  <key>NSExceptionDomains</key>
  <dict>
    <key>example.com</key>
    <dict>
      <!--Include to allow subdomains-->
      <key>NSIncludesSubdomains</key>
      <true/>
      <!--Include to allow HTTP requests-->
      <key>NSTemporaryExceptionAllowsInsecureHTTPLoads</key>
      <true/>
      <!--Include to specify minimum TLS version-->
      <key>NSTemporaryExceptionMinimumTLSVersion</key>
      <string>TLSv1.1</string>
    </dict>
  </dict>
</dict>

Die faule Option ist:

<key>NSAppTransportSecurity</key>
<dict>
  <!--Include to allow all connections (DANGER)-->
  <key>NSAllowsArbitraryLoads</key>
      <true/>
</dict>

Hinweis:

info.plist ist eine XML-Datei, sodass Sie diesen Code mehr oder weniger an einer beliebigen Stelle in der Datei platzieren können.

Dies wurde getestet und funktionierte mit iOS 9 GM Seed. Dies ist die Konfiguration, mit der eine bestimmte Domäne HTTP anstelle von HTTPS verwenden kann:

<key>NSAppTransportSecurity</key>
<dict>
      <key>NSAllowsArbitraryLoads</key> 
      <false/>
       <key>NSExceptionDomains</key>
       <dict>
            <key>example.com</key> <!--Include your domain at this line -->
            <dict>
                <key>NSIncludesSubdomains</key>
                <true/>
                <key>NSTemporaryExceptionAllowsInsecureHTTPLoads</key>
                <true/>
                <key>NSTemporaryExceptionMinimumTLSVersion</key>
                <string>TLSv1.1</string>
            </dict>
       </dict>
</dict>

NSAllowsArbitraryLoadsmuss sein false, da es alle unsicheren Verbindungen verbietet , aber die Ausnahmeliste die Verbindung zu einigen Domänen ohne HTTPS ermöglicht.

Dies ist eine schnelle Problemumgehung (aber nicht empfohlen), um dies in die Liste aufzunehmen:

<key>NSAppTransportSecurity</key>
<dict>
    <key>NSAllowsArbitraryLoads</key>
    <true/>
</dict>

Was bedeutet (laut Apple-Dokumentation ):

NSAllowsArbitraryLoads
Ein boolescher Wert, der zum Deaktivieren der App-Transportsicherheit für alle Domänen verwendet wird, die nicht im NSExceptionDomains-Wörterbuch aufgeführt sind. Aufgeführte Domänen verwenden die für diese Domäne angegebenen Einstellungen.

Der Standardwert NO erfordert das Standardverhalten von App Transport Security für alle Verbindungen.

Ich empfehle wirklich Links:

• Technischer Hinweis von Apple
• Die WWDC 2015-Sitzung 706 (Sicherheit und Ihre Apps) beginnt um 1:50 Uhr
• WWDC 2015 Sitzung 711 (Vernetzung mit NSURLSession)
• Blogpost Versenden einer App mit App Transport Security

die mir helfen, die Gründe und alle Auswirkungen zu verstehen.

Das folgende XML (in der Datei Info.plist) wird:

<key>NSAppTransportSecurity</key>
<dict>
    <key>NSAllowsArbitraryLoads</key>
    <false/>
    <key>NSExceptionDomains</key>
    <dict>
        <key>PAGE_FOR_WHICH_SETTINGS_YOU_WANT_TO_OVERRIDE</key>
        <dict>
            <key>NSExceptionAllowsInsecureHTTPLoads</key>
            <true/>
        </dict>
    </dict>
</dict>

beliebige Aufrufe für alle Seiten PAGE_FOR_WHICH_SETTINGS_YOU_WANT_TO_OVERRIDEnicht zulassen , aber für Verbindungen wird das HTTP-Protokoll verwendet.

Zum obigen XML können Sie hinzufügen:

<key>NSIncludesSubdomains</key>
<true/>

Wenn Sie unsichere Verbindungen für die Subdomains der angegebenen Adresse zulassen möchten.

Der beste Ansatz besteht darin, alle beliebigen Ladevorgänge zu blockieren (auf false gesetzt) ​​und Ausnahmen hinzuzufügen, um nur Adressen zuzulassen, von denen wir wissen, dass sie in Ordnung sind.

Für interessierte Leser

Update 2018:

Apple empfiehlt, dies nicht auszuschalten. Weitere Informationen finden Sie in der WWDC 2018-Sitzung 207 , in der weitere Informationen zur Sicherheit erläutert werden

Die ursprüngliche Antwort aus historischen Gründen und Entwicklungsphase verlassen

Für diejenigen unter Ihnen, die mehr darüber erfahren möchten, warum dies geschieht, und darüber, wie es behoben werden kann, lesen Sie weiter unten.

Mit der Einführung von iOS 9 müssen sichere Verbindungen zwischen einer App und ihrem Webdienst den Best Practices entsprechen , um die Sicherheit der Verbindungen zwischen einer App und Webdiensten zu verbessern . Das Best-Practice-Verhalten wird von der App Transport Security erzwungen, um :

• verhindern versehentliche Offenlegung, und
• Geben Sie ein sicheres Standardverhalten an.

Wie im App Transport Security Technote erläutert, gelten für die Kommunikation mit Ihrem Webdienst für App Transport Security jetzt die folgenden Anforderungen und Verhaltensweisen:

• Der Server muss mindestens das TLS-Protokoll (Transport Layer Security) Version 1.2 unterstützen.
• Verbindungs-Chiffren sind auf diejenigen beschränkt, die Vorwärtsgeheimnis bieten (siehe Liste der Chiffren unten).
• Zertifikate müssen mit einem SHA256-Hash-Algorithmus oder einem besseren Signatur-Hash-Algorithmus signiert werden, entweder mit einem RSA-Schlüssel mit 2048 Bit oder mehr oder einem ECC-Schlüssel (Elliptic-Curve) mit 256 Bit oder höher.
• Ungültige Zertifikate führen zu einem harten Fehler und keiner Verbindung.

Mit anderen Worten, Ihre Webdienstanforderung sollte: a.) HTTPS verwenden und b.) Mit TLS v1.2 mit Vorwärtsgeheimnis verschlüsselt werden.

Wie bereits in anderen Beiträgen erwähnt, können Sie dieses neue Verhalten von App Transport Security überschreiben, indem Sie die unsichere Domäne in Info.plistIhrer App angeben.

Zum Überschreiben müssen Sie die NSAppTransportSecurity> NSExceptionDomainsWörterbuch-Eigenschaften zu Ihrem hinzufügen Info.plist. Als Nächstes fügen Sie die Domain Ihres Webdienstes zum NSExceptionDomainsWörterbuch hinzu.

Wenn ich beispielsweise das Verhalten von App Transport Security für einen Webdienst auf dem Host www.yourwebservicehost.com umgehen möchte, würde ich Folgendes tun:

1. Öffnen Sie Ihre App in Xcode.

2. Suchen Sie die Info.plistDatei im Projektnavigator und klicken Sie mit der rechten Maustaste darauf und wählen Sie die Menüoption Öffnen als > Quellcode . Die Eigenschaftslistendatei wird im rechten Bereich angezeigt.

3. Fügen Sie den folgenden Eigenschaftenblock in das Haupteigenschaftenwörterbuch ein (unter den ersten <dict>).

<key>NSAppTransportSecurity</key>
<dict>
    <key>NSExceptionDomains</key>
    <dict>
        <key>www.example.com</key>
        <dict>
            <key>NSExceptionAllowsInsecureHTTPLoads</key>
            <true/>
            <key>NSExceptionMinimumTLSVersion</key>
            <string>TLSv1.1</string>
            <key>NSIncludesSubdomains</key>
            <true/>
        </dict>
    </dict>
</dict>

Wenn Sie Ausnahmen für zusätzliche Domänen angeben müssen, fügen Sie darunter eine weitere Wörterbucheigenschaft hinzu NSExceptionDomains.

Um mehr über die oben genannten Schlüssel zu erfahren, lesen Sie diesen bereits erwähnten Technote .

Ich mag es nicht, die Plist direkt zu bearbeiten. Sie können es einfach über die GUI zur Liste hinzufügen:

• Klicken Sie links im Navigator auf die Info.plist.

• Ändern Sie nun die Daten im Hauptbereich:

  • Fügen Sie in der letzten Zeile das + hinzu
  • Geben Sie den Namen der Gruppe ein: App Transport Security Settings
  • Klicken Sie mit der rechten Maustaste auf die Gruppe und wählen Sie Add Row
  • Geben Sie Beliebige Lasten zulassen ein
  • Stellen Sie den Wert rechts auf YES

Hierfür gibt es zwei Lösungen:

Lösungen 1:

1. Info.plistFügen Sie in der Datei ein Wörterbuch mit dem Schlüssel ' NSAppTransportSecurity' hinzu
2. Fügen Sie mit dem Schlüssel ein weiteres Element im Wörterbuch hinzu 'Allow Arbitrary Loads'

Plist Die Struktur sollte wie im folgenden Bild gezeigt aussehen.

Lösung 2:

1. Info.plistFügen Sie in der Datei ein Wörterbuch mit dem Schlüssel ' NSAppTransportSecurity' hinzu
2. Fügen Sie ein weiteres Element im Wörterbuch mit dem Schlüssel ' NSExceptionDomains' hinzu
3. Element mit Schlüssel 'MyDomainName.com'vom Typ NSDictionary hinzufügen
4. Fügen Sie ein Element mit dem Schlüssel ' NSIncludesSubdomains' des Typs Booleanund des Werts hinzu, der als festgelegt istYES
5. Fügen Sie ein Element mit dem Schlüssel ' NSTemporaryExceptionAllowsInsecureHTTPLoads' des Typs Booleanund des Werts hinzu, der als festgelegt istYES

Plist Die Struktur sollte wie im folgenden Bild gezeigt aussehen.

Lösung 2 wird bevorzugt, da nur ausgewählte Domänen zugelassen werden, während Lösung 1 alle unsicheren HTTP-Verbindungen zulässt.

Die Transportsicherheit ist unter iOS 9.0 oder höher verfügbar. Möglicherweise wird diese Warnung angezeigt, wenn Sie versuchen, einen WS in Ihrer Anwendung aufzurufen:

Application Transport Security hat das Laden von Klartext-HTTP-Ressourcen (http: //) blockiert, da diese unsicher sind. Temporäre Ausnahmen können über die Info.plist-Datei Ihrer App konfiguriert werden.

Wenn Sie Folgendes zu Ihrer Info.plist hinzufügen, wird ATS deaktiviert:

<key>NSAppTransportSecurity</key>
<dict>
     <key>NSAllowsArbitraryLoads</key><true/>
</dict>

Entwicklungsbeispiel

Hier ist ein Screenshot einer Liste, die ATS intakt hält (= sicher), aber ermöglicht, dass Verbindungen zu localhost über HTTP anstelle von HTTPS hergestellt werden können . Es funktioniert in Xcode 7.1.1.

Gehen Sie zu Ihrer Info.plist

1. Klicken Sie mit der rechten Maustaste auf den leeren Bereich und klicken Sie auf Zeile hinzufügen
2. Schreiben Sie den Schlüsselnamen als NSAppTransportSecurity darunter
3. Wählen Sie Ausnahmedomänen und fügen Sie diesem ein neues Element hinzu
4. Notieren Sie sich Ihren Domainnamen, auf den zugegriffen werden muss
5. Ändern Sie den Domänentyp von "Zeichenfolge" in "Wörterbuch" und fügen Sie ein neues Element hinzu
6. NSTemporaryExceptionAllowsInsecureHTTPLoads, das ist ein Boolescher Wert mit einem wahren Wert.

Laut Apple führt das generelle Deaktivieren von ATS zur Ablehnung von Apps, es sei denn, Sie haben einen guten Grund dafür. Selbst dann sollten Sie Ausnahmen für Domänen hinzufügen, auf die Sie sicher zugreifen können.

Apple hat ein hervorragendes Tool, das Ihnen genau sagt, welche Einstellungen Sie verwenden sollen: Geben Sie im Terminal ein

/usr/bin/nscurl --ats-diagnostics --verbose https://www.example.com/whatever

und nscurl prüft, ob diese Anforderung fehlschlägt, probiert dann verschiedene Einstellungen aus und teilt Ihnen genau mit, welche übergeben werden und was zu tun ist. Für eine URL eines Drittanbieters, die ich besuche, hat mir dieser Befehl beispielsweise mitgeteilt, dass dieses Wörterbuch übergeben wird:

{
    NSExceptionDomains = {
        "www.example.com" = {
            NSExceptionRequiresForwardSecrecy = false;
        };
    };
}

Verwenden Sie beispielsweise den Schlüssel NSThirdPartyExceptionRequiresForwardSecrecy, um zwischen Ihren eigenen Websites und Websites von Drittanbietern zu unterscheiden, auf die Sie keinen Einfluss haben.

Finden Sie heraus, welche Einstellungen verwendet werden sollen, wie in diesem Technote erwähnt :

/usr/bin/nscurl --ats-diagnostics --verbose https://your-domain.com

HINWEIS: Die Ausnahmedomäne in Ihrer Liste sollte sich in LOWER-CASE befinden.

Beispiel: Sie haben Ihren Computer unter "Einstellungen-> Freigabe" "MyAwesomeMacbook" genannt. Ihr Server (zu Testzwecken) läuft auf MyAwesomeMacbook.local: 3000, und Ihre App muss eine Anfrage an http: //MyAwesomeMacbook.local: 3000 / files ... senden. In Ihrer Liste müssen Sie "myawesomemacbook" angeben. local "als Ausnahmedomäne.

- -

Ihre info.plist würde enthalten ...

<key>NSAppTransportSecurity</key>
<dict>
  <key>NSExceptionDomains</key>
  <dict>
    <key>myawesomemacbook.local</key>
    <dict>
      <!--Include to allow subdomains-->
      <key>NSIncludesSubdomains</key>
      <true/>
      <!--Include to allow HTTP requests-->
      <key>NSExceptionAllowsInsecureHTTPLoads</key>
      <true/>
    </dict>
  </dict>
</dict>

Verwenden:

Fügen Sie ein neues Element, NSAppTransportSecurity , in die plist-Datei mit dem Typ Dictionary ein , fügen Sie dann das Unterelement NSAllowsArbitraryLoads im Wörterbuch vom Typ Boolean hinzu und setzen Sie den Bool-Wert YES . Das funktioniert bei mir.

Am 25.09.2015 (nach Xcode-Updates am 18.09.2015):

Ich habe eine nicht faule Methode verwendet, aber sie hat nicht funktioniert. Das Folgende sind meine Versuche.

Zuerst,

<key>NSAppTransportSecurity</key>
<dict>
    <key>NSExceptionDomains</key>
    <dict>
        <key>www.xxx.yyy.zzz</key>
        <dict>
            <key>NSTemporaryExceptionAllowsInsecureHTTPLoads</key>
            <true/>
            <key>NSTemporaryExceptionMinimumTLSVersion</key>
            <string>TLSv1.1</string>
            <key>NSIncludesSubdomains</key>
            <true/>
        </dict>
    </dict>
</dict>

Und zweitens,

<key>NSAppTransportSecurity</key>
<dict>
    <key>NSExceptionDomains</key>
    <dict>
        <key>www.xxx.yyy.zzz</key>
        <dict>
            <key>NSExceptionAllowsInsecureHTTPLoads</key>
            <true/>
            <key>NSExceptionMinimumTLSVersion</key>
            <string>TLSv1.1</string>
            <key>NSIncludesSubdomains</key>
            <true/>
        </dict>
    </dict>
</dict>

Schließlich habe ich die faule Methode angewendet:

<key>NSAppTransportSecurity</key>
<dict>
    <key>NSAllowsArbitraryLoads</key>
    <true/>
</dict>

Es mag etwas unsicher sein, aber ich konnte keine anderen Lösungen finden.

In Swift 4 und Xocde 10 ändern Sie die NSAllowsArbitraryLoads in Allow Arbitrary Loads. also wird es so aussehen:

<key>App Transport Security Settings</key>
<dict>
     <key>Allow Arbitrary Loads</key><true/>
</dict>

Es kann erwähnenswert sein, wie man dorthin kommt ...

Info.plist ist eine der Dateien unter dem Main.storyboard oder viewController.swift.

Wenn Sie das erste Mal darauf klicken, liegt es normalerweise in einem Tabellenformat vor. Klicken Sie also mit der rechten Maustaste auf die Datei und öffnen Sie sie als Quellcode. Fügen Sie dann gegen Ende den folgenden Code hinzu:

 <key>NSAppTransportSecurity</key><dict><key>NSAllowsArbitraryLoads</key><true/></dict>

Kopieren Sie den Code direkt oben

 "</dict>
</plist>"

Das ist am Ende.

Update für Xcode 7.1 mit Problem 27.10.15:

Der neue Wert in der Info.plist lautet "Sicherheitseinstellungen für den App-Transport". Von dort sollte dieses Wörterbuch enthalten:

• Beliebige Lasten zulassen = JA
• Ausnahmedomänen (fügen Sie hier Ihre http-Domain ein)

Für diejenigen, die hierher gekommen sind, um den Grund zu finden, warum ihr WKWebView immer weiß ist und nichts lädt (genau wie hier beschrieben, wie kann ich WKWebView schnell und für eine macOS-App zum Laufen bringen? ):

Wenn die gesamte oben genannte Raketenwissenschaft für Sie nicht funktioniert, überprüfen Sie das Offensichtliche: die Sandbox-Einstellungen

Ich bin neu in Swift und Kakao, aber ziemlich erfahren in der Programmierung. Ich habe ungefähr 20 Stunden damit verbracht, diese Lösung zu finden. Keines von Dutzenden Hipster-iOS-Tutorials oder Apple-Keynotes - nichts erwähnt dieses kleine Kontrollkästchen.

Standardmäßig erlaubt iOS nur die HTTPS-API. Da HTTP nicht sicher ist, müssen Sie die App-Transportsicherheit deaktivieren. Es gibt zwei Möglichkeiten, ATS zu deaktivieren:

1. Hinzufügen von Quellcode in der Projektinfo.plist und Hinzufügen des folgenden Codes im Root-Tag.

<key>NSAppTransportSecurity</key>
<dict>
    <key>NSAllowsArbitraryLoads</key>
    <true/>
</dict>

2. Projektinformationen verwenden.

Klicken Sie im linken Bereich im Projekt auf Projekt, wählen Sie das Projekt als Ziel aus und wählen Sie die Registerkarte Info. Sie müssen das Wörterbuch in der folgenden Struktur hinzufügen.

Wie man es repariert?

Unten Schritte, um das Problem zu beheben.

Bei Verwendung wird NSExceptionDomainsmöglicherweise kein Effekt gleichzeitig angewendet, da die Zielwebsite möglicherweise Ressourcen (z. B. jsDateien) von externen Domänen überlädt http. Es kann auch durch Hinzufügen dieser externen Domänen behoben werden NSExceptionDomains.

Verwenden Sie das Remote-Debugging, um zu überprüfen, welche Ressourcen nicht geladen werden können. Hier ist ein Tutorial: http://geeklearning.io/apache-cordova-and-remote-debugging-on-ios/

Wenn Sie Cordova zu Ihrer ios.json hinzufügen möchten, gehen Sie wie folgt vor:

"NSAppTransportSecurity": [
   {
      "xml": "<dict><key>NSAllowsArbitraryLoads</key><true /></dict>"
   }
]

Und es sollte innerhalb sein von:

"*-Info.plist": {
   "parents": {
   }
}

Wie viele bemerkt haben, ist dies ein Funktionsproblem, das mit iOS 9.0 geliefert wird. Sie haben ein Ding namens App Transport Security hinzugefügt, und auch ich war verärgert, als es meine Apps kaputt machte.

Sie können es mit dem NSAllowsArbitraryLoads-Schlüssel auf YES unter dem NSAppTransportSecurity-Wörterbuch in Ihrer .plist-Datei verbinden, aber letztendlich müssen Sie den Code, der Ihre URLs bildet, neu schreiben, um das Präfix HTTPS: // zu bilden.

Apple hat die NSUrlConnection-Klasse in iOS 9.0 neu geschrieben. Sie können darüber in NSURLConnection lesen .

Andernfalls müssen Sie möglicherweise von iOS 9.0 zurücktreten, bis Sie Zeit haben, die richtige Lösung zu implementieren.