Внедрите корневой сертификат SSL в приложение iOS, а не устанавливайте его для всей системы

Question

Как я могу встроить собственный сертификат CA CA в приложение, которое подключается к локальному серверу?

Этот сертификат должен работать как любой сертификат CA, установленный в системе, но встроенный в это приложение, вместо того, чтобы требоватьПользователь должен установить его в масштабе всей системы, чтобы он не отображал предупреждение системы безопасности и работает только с нашими локальными серверами через приложение

. Для этого необходимо соблюдать ATS, не требуя от пользователя каких-либо дополнительных действий.конфигурация, такая как загрузка и установка сертификата CA вручную

Answer 1

Я предполагаю, что вы работаете с самозаверяющим сертификатом. В этом случае вам нужно: SSL-пиннинг .

В зависимости от того, используете ли высетевой либ или нет, это может работать по-другому, но вам нужно сохранить публичный сертификат и затем вручную обработать запрос аутентификации:

https://developer.apple.com/documentation/foundation/url_loading_system/handling_an_authentication_challenge

Например:

func urlSession(_ session: URLSession, didReceive challenge: URLAuthenticationChallenge, completionHandler: @escaping (URLSession.AuthChallengeDisposition, URLCredential?) -> Void) {  
    guard let trust = challenge.protectionSpace.serverTrust, SecTrustGetCertificateCount(trust) > 0 else {
        // This case will probably get handled by ATS, but still...
        completionHandler(.cancelAuthenticationChallenge, nil)
        return
    }

    // Or, compare the public keys
    if let serverCertificate = SecTrustGetCertificateAtIndex(trust, 0), let serverCertificateKey = publicKey(for: serverCertificate) {
        if pinnedKeys().contains(serverCertificateKey) {
            completionHandler(.useCredential, URLCredential(trust: trust))
            return
        }
    }

    completionHandler(.cancelAuthenticationChallenge, nil)
}


fileprivate func pinnedKeys() -> [SecKey] {
    var publicKeys: [SecKey] = []

    if let pinnedCertificateURL = Bundle.main.url(forResource: "infinumco", withExtension: "crt") {
        do {
            let pinnedCertificateData = try Data(contentsOf: pinnedCertificateURL) as CFData
            if let pinnedCertificate = SecCertificateCreateWithData(nil, pinnedCertificateData), let key = publicKey(for: pinnedCertificate) {
                publicKeys.append(key)
            }
        } catch (_) {
            // Handle error
        }
    }

    return publicKeys
}

У меня есть несколько других примеров того, как справиться с этим сценарием:

https://github.com/Adis/swift-ssl-pin-examples