Безпека транспорту заблокувала HTTP з ясним текстом

Які налаштування потрібно встановити info.plistдля включення режиму HTTP відповідно до наступного повідомлення про помилку?

Безпека транспорту заблокувала завантаження ресурсів HTTP (http: //) з ясним текстом, оскільки це небезпечно. Тимчасові винятки можна налаштувати через файл Info.plist вашого додатка.

Припустимо, що мій домен є example.com.

Якщо ви використовуєте Xcode 8.0+ та Swift 2.2+ або навіть ціль C:

<key>NSAppTransportSecurity</key>
<dict>
    <key>NSAllowsArbitraryLoads</key>
    <true/>
    <key>NSExceptionDomains</key>
    <dict>
        <key>example.com</key>
        <dict>
            <key>NSExceptionAllowsInsecureHTTPLoads</key>
            <true/>
            <key>NSIncludesSubdomains</key>
            <true/>
        </dict>
    </dict>
</dict>

Використовуйте безпеку NSAppTransportSecurity:

Вам слід встановити ключ NSAllowsArbitraryLoads на YES під словником NSAppTransportSecurity у вашому файлі info.plist .

Ось налаштування візуально:

Дивіться повідомлення на форумі Захист транспорту транспорту? .

Також сторінка Налаштування винятків безпеки транспорту додатків у iOS 9 та OSX 10.11 .

Наприклад, ви можете додати певний домен, наприклад:

<key>NSAppTransportSecurity</key>
<dict>
  <key>NSExceptionDomains</key>
  <dict>
    <key>example.com</key>
    <dict>
      <!--Include to allow subdomains-->
      <key>NSIncludesSubdomains</key>
      <true/>
      <!--Include to allow HTTP requests-->
      <key>NSTemporaryExceptionAllowsInsecureHTTPLoads</key>
      <true/>
      <!--Include to specify minimum TLS version-->
      <key>NSTemporaryExceptionMinimumTLSVersion</key>
      <string>TLSv1.1</string>
    </dict>
  </dict>
</dict>

Ледачий варіант:

<key>NSAppTransportSecurity</key>
<dict>
  <!--Include to allow all connections (DANGER)-->
  <key>NSAllowsArbitraryLoads</key>
      <true/>
</dict>

Примітка:

info.plist це XML-файл, тому ви можете розмістити цей код більш-менш де-небудь у файлі.

Це було протестовано та працювало над насінням GM iOS 9 - така конфігурація дозволяє конкретному домену використовувати HTTP замість HTTPS:

<key>NSAppTransportSecurity</key>
<dict>
      <key>NSAllowsArbitraryLoads</key> 
      <false/>
       <key>NSExceptionDomains</key>
       <dict>
            <key>example.com</key> <!--Include your domain at this line -->
            <dict>
                <key>NSIncludesSubdomains</key>
                <true/>
                <key>NSTemporaryExceptionAllowsInsecureHTTPLoads</key>
                <true/>
                <key>NSTemporaryExceptionMinimumTLSVersion</key>
                <string>TLSv1.1</string>
            </dict>
       </dict>
</dict>

NSAllowsArbitraryLoadsповинно бути false, тому що це відключає все небезпечне з'єднання, але список винятків дозволяє підключення до деяких доменів без HTTPS.

Це швидке вирішення (але не рекомендується), щоб додати це до списку:

<key>NSAppTransportSecurity</key>
<dict>
    <key>NSAllowsArbitraryLoads</key>
    <true/>
</dict>

Що означає (згідно з документацією Apple ):

NSAllowsArbitraryLoads
Булеве значення, яке використовується для відключення безпеки транспорту додатків для будь-яких доменів, які не вказані в словнику NSExceptionDomains. Перелічені домени використовують налаштування, визначені для цього домену.

Значення за замовчуванням NO вимагає поведінки безпеки транспорту за замовчуванням для всіх з'єднань.

Я дуже рекомендую посилання:

• Технічна записка Apple
• Сеанс 706 WWDC 2015 (безпека та ваші програми) починається близько 1:50
• Сесія WWDC 2015 711 (Мережа з NSURLSession)
• Блог-повідомлення Доставлення програми із забезпеченням безпеки транспорту додатків

які допомагають мені зрозуміти причини та всі наслідки.

XML (у файлі Info.plist) нижче:

<key>NSAppTransportSecurity</key>
<dict>
    <key>NSAllowsArbitraryLoads</key>
    <false/>
    <key>NSExceptionDomains</key>
    <dict>
        <key>PAGE_FOR_WHICH_SETTINGS_YOU_WANT_TO_OVERRIDE</key>
        <dict>
            <key>NSExceptionAllowsInsecureHTTPLoads</key>
            <true/>
        </dict>
    </dict>
</dict>

заборонити довільні дзвінки для всіх сторінок, але для PAGE_FOR_WHICH_SETTINGS_YOU_WANT_TO_OVERRIDEдозволить з'єднанням використовувати протокол HTTP.

До XML вище можна додати:

<key>NSIncludesSubdomains</key>
<true/>

якщо ви хочете дозволити незахищені з'єднання для субдоменів вказаної адреси.

Найкращий підхід - заблокувати всі довільні навантаження (встановлені на помилкові) та додати винятки, щоб дозволити лише ті адреси, які ми знаємо.

Для зацікавлених читачів

Оновлення 2018 року:

Apple не рекомендує вимикати це. Більше інформації можна знайти на 207 сесії WWDC 2018 з більшою кількістю пояснень щодо безпеки

Залишивши оригінальну відповідь з історичних причин та фази розвитку

Для тих із вас, хто хоче більше контексту щодо того, чому це відбувається, крім того, як це виправити, прочитайте нижче.

З впровадженням iOS 9 для підвищення безпеки зв’язків між додатком та веб-службами безпечне з'єднання між додатком та його веб-службою повинно дотримуватися кращих практик . Засоби безпеки транспорту додатків застосовуються до:

• запобігання випадкового розкриття та
• забезпечити безпечну поведінку за замовчуванням.

Як пояснено в Технотеці безпеки транспорту додатків , під час спілкування з веб-службою App Transport Security тепер має такі вимоги та поведінку:

• Сервер повинен підтримувати принаймні протокол протоколу безпеки транспортного рівня (TLS) версії 1.2.
• Шифри підключення обмежені тими, що забезпечують секретність вперед (див. Перелік шифрів нижче.)
• Сертифікати повинні бути підписані за допомогою SHA256 або кращого алгоритму хешування підпису, або 2048-бітовим або більшим ключем RSA, або 256-бітовим або більшим ключем Elliptic-Curve (ECC).
• Недійсні сертифікати призводять до жорсткої несправності та відсутності з'єднання.

Іншими словами, ваш запит на веб-службу повинен: a.) Використовувати HTTPS та b.) Бути зашифрованим за допомогою TLS v1.2 з прямою секретністю.

Однак, як уже згадувалося в інших публікаціях, ви можете змінити цю нову поведінку від App Transport Security, вказавши незахищений домен у Info.plistсвоїй програмі.

Для перевизначення, вам потрібно буде додати NSAppTransportSecurity> NSExceptionDomainsсловникові властивості до Info.plist. Далі ви додасте домен веб-служби до NSExceptionDomainsсловника.

Наприклад, якщо я хочу обійти поведінку безпеки транспортного забезпечення додатків для веб-сервісу на хості www.yourwebservicehost.com, я б зробив наступне:

1. Відкрийте додаток у Xcode.

2. Знайдіть Info.plistфайл у «Навігаторі проектів» та клацніть на ньому «правою мишкою» та оберіть опцію меню « Відкрити як > вихідний код ». Файл списку властивостей з’явиться на правій панелі.

3. Поставте наступний блок властивостей всередині словника основних властивостей (під першим <dict>).

<key>NSAppTransportSecurity</key>
<dict>
    <key>NSExceptionDomains</key>
    <dict>
        <key>www.example.com</key>
        <dict>
            <key>NSExceptionAllowsInsecureHTTPLoads</key>
            <true/>
            <key>NSExceptionMinimumTLSVersion</key>
            <string>TLSv1.1</string>
            <key>NSIncludesSubdomains</key>
            <true/>
        </dict>
    </dict>
</dict>

Якщо вам потрібно надати винятки для додаткових доменів, ви додасте інше властивість словника внизу NSExceptionDomains.

Щоб дізнатися більше про ключі, на які посилалося вище, прочитайте цю вже згадану технологію .

Мені не подобається безпосередньо редагувати пліст. Ви можете легко додати його до списку за допомогою GUI:

• Клацніть на списку Info.plist у Навігаторі зліва.

• Тепер змініть дані в основній області:

  • В останньому рядку додайте +
  • Введіть назву групи: Налаштування безпеки транспорту додатків
  • Клацніть правою кнопкою миші на групі та виберіть Add Row
  • Введіть Дозволити довільні вантажі
  • Встановіть значення праворуч на ТАК

Для цього є два рішення:

Рішення 1:

1. У Info.plistфайл додайте словник з ключем ' NSAppTransportSecurity'
2. Додайте ще один елемент всередині словника за допомогою ключа 'Allow Arbitrary Loads'

Plist структура повинна виглядати так, як показано на зображенні нижче.

Рішення 2:

1. У Info.plistфайл додайте словник з ключем ' NSAppTransportSecurity'
2. Додати інший елемент всередині словника за допомогою клавіші ' NSExceptionDomains'
3. Додайте елемент з ключем 'MyDomainName.com'типу NSDictionary
4. Додайте елемент з ключем типу " NSIncludesSubdomains" Booleanі значення, встановлене якYES
5. Додайте елемент з ключем типу " NSTemporaryExceptionAllowsInsecureHTTPLoads" Booleanі значення, встановлене якYES

Plist структура повинна виглядати так, як показано на зображенні нижче.

Рішення 2 є кращим, оскільки воно дозволяє лише вибраний домен, тоді як рішення 1 дозволяє всі небезпечні з'єднання HTTP.

Захист транспорту доступний на iOS 9.0 або новішої версії. Це попередження може виникнути під час спроби зателефонувати в службову службу всередині програми:

Безпека транспортування додатків заблокувала завантаження ресурсів HTTP (http: //) ясного тексту, оскільки це небезпечно. Тимчасові винятки можна налаштувати через файл Info.plist вашого додатка.

Додавання до списку Info.plist призведе до відключення АТС:

<key>NSAppTransportSecurity</key>
<dict>
     <key>NSAllowsArbitraryLoads</key><true/>
</dict>

Приклад розробки

Ось скріншот списку, який зберігає ATS неушкодженим (= захищеним), але дозволяє підключення до localhost можна здійснювати через HTTP замість HTTPS . Він працює в Xcode 7.1.1.

Перейдіть на свій Info.plist

1. Клацніть правою кнопкою миші на порожньому просторі та натисніть кнопку Додати рядок
2. Напишіть ключове ім'я як NSAppTransportSecurity, під ним
3. Виберіть Домени винятку, Додайте до цього новий елемент
4. Запишіть своє доменне ім’я, до якого потрібно отримати доступ
5. Змініть тип домену зі String на Словник, додайте новий елемент
6. NSTemvremeExceptionAllowsInsecureHTTPLoads, що буде булевим з істинним значенням.

На думку Apple, звичайно вимкнення АТС призведе до відхилення додатків, якщо у вас немає вагомих причин для цього. Вже тоді слід додати винятки для доменів, до яких ви можете безпечно отримати доступ.

Apple має чудовий інструмент, який точно розповість, які налаштування використовувати: У терміналі введіть

/usr/bin/nscurl --ats-diagnostics --verbose https://www.example.com/whatever

і nscurl перевірить, чи не працює цей запит, а потім спробуйте різноманітні налаштування та точно скаже, який з них проходить і що робити. Наприклад, для якоїсь третьої URL-адреси, яку я відвідую, ця команда сказала мені, що цей словник передає:

{
    NSExceptionDomains = {
        "www.example.com" = {
            NSExceptionRequiresForwardSecrecy = false;
        };
    };
}

Щоб розрізняти власні сайти та сторонні сайти, які не знаходяться під вашим контролем, використовуйте, наприклад, ключ NSThirdPartyExceptionRequiresForwardSecrecy.

З'ясування, які налаштування використовувати, можна виконати автоматично, як зазначено в цій технічній записці :

/usr/bin/nscurl --ats-diagnostics --verbose https://your-domain.com

ПРИМІТКА. Домен винятків у вашому списку повинен бути в нижньому випадку.

Приклад: ви назвали свій апарат "MyAwesomeMacbook" у розділі Налаштування-> Спільний доступ; ваш сервер (для тестових цілей) працює на MyAwesomeMacbook.local: 3000, і ваш додаток має надіслати запит на http: //MyAwesomeMacbook.local: 3000 / файли ..., у вашому списку потрібно вказати "myawesomemacbook. local "як домен виключення.

-

Ваш інформаційний список міститиме ...

<key>NSAppTransportSecurity</key>
<dict>
  <key>NSExceptionDomains</key>
  <dict>
    <key>myawesomemacbook.local</key>
    <dict>
      <!--Include to allow subdomains-->
      <key>NSIncludesSubdomains</key>
      <true/>
      <!--Include to allow HTTP requests-->
      <key>NSExceptionAllowsInsecureHTTPLoads</key>
      <true/>
    </dict>
  </dict>
</dict>

Використання:

Додайте новий елемент NSAppTransportSecurity у файл плістів із типом Словник , потім додайте підпункт NSAllowsArbitraryLoads у словник типу Boolean та встановіть значення bool ТАК . Це працює для мене.

25.05.2015 (після оновлень Xcode 2015-09-18):

Я використовував не лінивий метод, але він не працював. Наступні мої спроби.

Спочатку,

<key>NSAppTransportSecurity</key>
<dict>
    <key>NSExceptionDomains</key>
    <dict>
        <key>www.xxx.yyy.zzz</key>
        <dict>
            <key>NSTemporaryExceptionAllowsInsecureHTTPLoads</key>
            <true/>
            <key>NSTemporaryExceptionMinimumTLSVersion</key>
            <string>TLSv1.1</string>
            <key>NSIncludesSubdomains</key>
            <true/>
        </dict>
    </dict>
</dict>

І друге,

<key>NSAppTransportSecurity</key>
<dict>
    <key>NSExceptionDomains</key>
    <dict>
        <key>www.xxx.yyy.zzz</key>
        <dict>
            <key>NSExceptionAllowsInsecureHTTPLoads</key>
            <true/>
            <key>NSExceptionMinimumTLSVersion</key>
            <string>TLSv1.1</string>
            <key>NSIncludesSubdomains</key>
            <true/>
        </dict>
    </dict>
</dict>

Нарешті, я використав метод ледачий:

<key>NSAppTransportSecurity</key>
<dict>
    <key>NSAllowsArbitraryLoads</key>
    <true/>
</dict>

Це може бути трохи небезпечно, але я не зміг знайти інших рішень.

У швидкості 4 та xocde 10 змінюється NSAllowsArbitraryLoads, щоб дозволяти довільні навантаження. тому це буде виглядати приблизно так:

<key>App Transport Security Settings</key>
<dict>
     <key>Allow Arbitrary Loads</key><true/>
</dict>

Можливо, варто згадати, як дістатися ...

Info.plist - це один із файлів під Main.storyboard або viewController.swift.

Коли ви натискаєте на нього вперше, він зазвичай знаходиться у форматі таблиці, тому клацніть правою кнопкою миші файл і "відкрийте як" Вихідний код, а потім додайте код нижче до кінця, тобто:

 <key>NSAppTransportSecurity</key><dict><key>NSAllowsArbitraryLoads</key><true/></dict>

Скопіюйте вставити код трохи вище

 "</dict>
</plist>"

що в кінці.

Оновлення для Xcode 7.1, зіткнувшись з проблемою 27.10.15:

Нове значення в Info.plist - "Налаштування безпеки транспорту додатків". Звідси цей словник повинен містити:

• Дозволити довільні навантаження = ТАК
• Домени винятку (введіть тут свій домен http)

Для тих, хто прийшов сюди, намагаючись знайти причину, чому їх WKWebView завжди білий і нічого не завантажує (саме так, як описано тут, як змусити WKWebView працювати швидко і для програми macOS ):

Якщо вся ракетна наука вище не працює, ви перевірте очевидне: налаштування пісочниці

Будучи новим для швидкого та какао, але досить досвідченим у програмуванні, я витратив близько 20 годин на пошук цього рішення. Жоден із десятків навчальних посібників з hipster-iOS, ані яблучних ключових приміток - нічого не згадує цей невеликий прапорець.

За замовчуванням iOS дозволяє лише HTTPS API. Оскільки HTTP не захищено, вам доведеться відключити безпеку транспорту додатків. Є два способи відключення АТС: -

1. Додавання вихідного коду в проект info.plist та додавання наступного коду в тег root.

<key>NSAppTransportSecurity</key>
<dict>
    <key>NSAllowsArbitraryLoads</key>
    <true/>
</dict>

2. Використання інформації про проект.

Клацніть на проекті на лівій панелі, виберіть проект як цільовий та виберіть інформаційну вкладку. Ви повинні додати словник у наступній структурі.

Як це виправити?

Нижче наведено кроки, щоб виправити це.

Використання NSExceptionDomainsможе не застосовувати ефект одночасно, оскільки цільовий сайт може завантажувати ресурси (наприклад, jsфайли) із зовнішніх доменів http. Це можна вирішити, додавши також ці зовнішні домени NSExceptionDomains.

Щоб перевірити, які ресурси не можна завантажити, спробуйте скористатися віддаленою налагодженням. Ось підручник: http://geeklearning.io/apache-cordova-and-remote-debugging-on-ios/

Для Кордови, якщо ви хочете додати її у свій ios.json, зробіть наступне:

"NSAppTransportSecurity": [
   {
      "xml": "<dict><key>NSAllowsArbitraryLoads</key><true /></dict>"
   }
]

І він повинен бути всередині:

"*-Info.plist": {
   "parents": {
   }
}

Як багато хто зазначав, це проблема, яка поставляється з iOS 9.0. Вони додали річ під назвою Безпека транспорту додатків, і мене теж дратувало, коли вона зламала мої програми.

Ви можете перев'язати його клавішею NSAllowsArbitraryLoads до ТАК під словником NSAppTransportSecurity у вашому файлі .plist, але в кінцевому підсумку вам потрібно буде повторно записати код, який формує ваші URL-адреси, щоб сформувати префікс HTTPS: //.

Apple переписала клас NSUrlConnection в iOS 9.0. Ви можете прочитати про це у NSURLConnection .

Інше, можливо, вам доведеться відмовитися від iOS 9.0, поки не встигнете реалізувати правильне рішення.