Keamanan transportasi telah memblokir HTTP cleartext

Pengaturan apa yang harus saya masukkan info.plistke saya untuk mengaktifkan mode HTTP sesuai dengan pesan kesalahan berikut?

Keamanan transportasi telah memblokir sumber daya HTTP (http: //) cleartext karena tidak aman. Pengecualian sementara dapat dikonfigurasikan melalui file Info.plist aplikasi Anda.

Asumsikan domain saya adalah example.com.

Jika Anda menggunakan Xcode 8.0+ dan Swift 2.2+ atau bahkan Objective C:

<key>NSAppTransportSecurity</key>
<dict>
    <key>NSAllowsArbitraryLoads</key>
    <true/>
    <key>NSExceptionDomains</key>
    <dict>
        <key>example.com</key>
        <dict>
            <key>NSExceptionAllowsInsecureHTTPLoads</key>
            <true/>
            <key>NSIncludesSubdomains</key>
            <true/>
        </dict>
    </dict>
</dict>

Gunakan NSAppTransportSecurity:

Anda harus mengatur kunci NSAllowsArbitraryLoads ke YA di bawah kamus NSAppTransportSecurity di file info.plist Anda.

Berikut adalah pengaturan secara visual:

Lihat posting forum Keamanan Transport Aplikasi? .

Juga halaman Mengkonfigurasi Pengecualian Keamanan Transport Aplikasi di iOS 9 dan OSX 10.11 .

Misalnya, Anda dapat menambahkan domain tertentu seperti:

<key>NSAppTransportSecurity</key>
<dict>
  <key>NSExceptionDomains</key>
  <dict>
    <key>example.com</key>
    <dict>
      <!--Include to allow subdomains-->
      <key>NSIncludesSubdomains</key>
      <true/>
      <!--Include to allow HTTP requests-->
      <key>NSTemporaryExceptionAllowsInsecureHTTPLoads</key>
      <true/>
      <!--Include to specify minimum TLS version-->
      <key>NSTemporaryExceptionMinimumTLSVersion</key>
      <string>TLSv1.1</string>
    </dict>
  </dict>
</dict>

Opsi malas adalah:

<key>NSAppTransportSecurity</key>
<dict>
  <!--Include to allow all connections (DANGER)-->
  <key>NSAllowsArbitraryLoads</key>
      <true/>
</dict>

catatan:

info.plist adalah file XML sehingga Anda dapat menempatkan kode ini lebih atau kurang di mana saja di dalam file.

Ini diuji dan berfungsi pada iOS 9 GM seed - ini adalah konfigurasi untuk memungkinkan domain tertentu untuk menggunakan HTTP, bukan HTTPS:

<key>NSAppTransportSecurity</key>
<dict>
      <key>NSAllowsArbitraryLoads</key> 
      <false/>
       <key>NSExceptionDomains</key>
       <dict>
            <key>example.com</key> <!--Include your domain at this line -->
            <dict>
                <key>NSIncludesSubdomains</key>
                <true/>
                <key>NSTemporaryExceptionAllowsInsecureHTTPLoads</key>
                <true/>
                <key>NSTemporaryExceptionMinimumTLSVersion</key>
                <string>TLSv1.1</string>
            </dict>
       </dict>
</dict>

NSAllowsArbitraryLoadsharus false, karena itu melarang semua koneksi tidak aman, tetapi daftar pengecualian memungkinkan koneksi ke beberapa domain tanpa HTTPS.

Ini adalah solusi cepat (tetapi tidak disarankan) untuk menambahkan ini di daftar:

<key>NSAppTransportSecurity</key>
<dict>
    <key>NSAllowsArbitraryLoads</key>
    <true/>
</dict>

Yang berarti (menurut dokumentasi Apple ):

NSAllowsArbitraryLoads
Nilai Boolean yang digunakan untuk menonaktifkan App Transport Security untuk domain apa pun yang tidak tercantum dalam kamus NSExceptionDomains. Domain yang terdaftar menggunakan pengaturan yang ditentukan untuk domain itu.

Nilai default NO memerlukan perilaku App Transport Security default untuk semua koneksi.

Saya sangat merekomendasikan tautan:

• Catatan teknis Apple
• WWDC 2015 sesi 706 (Keamanan dan Aplikasi Anda) dimulai sekitar 1:50
• WWDC 2015 sesi 711 (Jaringan dengan NSURLSession)
• Posting blog Mengirim Aplikasi dengan Keamanan Transport Aplikasi

yang membantu saya memahami alasan dan semua implikasinya.

XML (dalam file Info.plist) di bawah ini akan:

<key>NSAppTransportSecurity</key>
<dict>
    <key>NSAllowsArbitraryLoads</key>
    <false/>
    <key>NSExceptionDomains</key>
    <dict>
        <key>PAGE_FOR_WHICH_SETTINGS_YOU_WANT_TO_OVERRIDE</key>
        <dict>
            <key>NSExceptionAllowsInsecureHTTPLoads</key>
            <true/>
        </dict>
    </dict>
</dict>

larang panggilan sewenang-wenang untuk semua halaman, tetapi untuk PAGE_FOR_WHICH_SETTINGS_YOU_WANT_TO_OVERRIDEmemungkinkan koneksi menggunakan protokol HTTP.

Untuk XML di atas Anda dapat menambahkan:

<key>NSIncludesSubdomains</key>
<true/>

jika Anda ingin mengizinkan koneksi tidak aman untuk subdomain dari alamat yang ditentukan.

Pendekatan terbaik adalah memblokir semua muatan yang berubah-ubah (disetel ke false) dan menambahkan pengecualian agar hanya alamat yang kami tahu baik-baik saja.

Untuk pembaca yang tertarik

Pembaruan 2018:

Apple tidak merekomendasikan untuk mematikan ini - informasi lebih lanjut dapat ditemukan di 207 sesi WWDC 2018 dengan lebih banyak hal yang dijelaskan sehubungan dengan keamanan

Meninggalkan jawaban asli karena alasan historis dan fase pengembangan

Bagi Anda yang menginginkan konteks lebih banyak tentang mengapa hal ini terjadi, selain cara memperbaikinya, maka baca di bawah ini.

Dengan diperkenalkannya iOS 9, untuk meningkatkan keamanan koneksi antara aplikasi dan layanan web, koneksi aman antara aplikasi dan layanan webnya harus mengikuti praktik terbaik . Perilaku praktik terbaik diberlakukan oleh App Transport Security untuk:

• mencegah pengungkapan yang tidak disengaja, dan
• memberikan perilaku default yang aman.

Sebagaimana dijelaskan dalam App Transport Security Technote , saat berkomunikasi dengan layanan web Anda, App Transport Security sekarang memiliki persyaratan dan perilaku berikut:

• Server harus mendukung setidaknya protokol Transport Layer Security (TLS) versi 1.2.
• Cipher koneksi terbatas pada yang menyediakan kerahasiaan ke depan (lihat daftar cipher di bawah ini.)
• Sertifikat harus ditandatangani menggunakan SHA256 atau algoritma hash signature yang lebih baik, dengan kunci RSA 2048 bit atau lebih besar atau 256 bit atau lebih besar Elliptic-Curve (ECC) key.
• Sertifikat yang tidak valid mengakibatkan kegagalan keras dan tidak ada koneksi.

Dengan kata lain, permintaan layanan web Anda harus: a.) Menggunakan HTTPS dan b.) Dienkripsi menggunakan TLS v1.2 dengan kerahasiaan ke depan.

Namun, seperti yang disebutkan dalam posting lain, Anda dapat mengganti perilaku baru ini dari Keamanan Transport Aplikasi dengan menentukan domain tidak aman di Info.plistaplikasi Anda.

Untuk mengganti, Anda perlu menambahkan NSAppTransportSecurity> NSExceptionDomainsproperti kamus ke Info.plist. Selanjutnya, Anda akan menambahkan domain layanan web Anda ke NSExceptionDomainskamus.

Misalnya, jika saya ingin mem-bypass perilaku App Transport Security untuk layanan web di host www.yourwebservicehost.com maka saya akan melakukan hal berikut:

1. Buka aplikasi Anda dalam Xcode.

2. Temukan Info.plistfile di Project Navigator dan klik "mouse kanan" dan pilih opsi menu Open As > Source Code . File daftar properti akan muncul di panel kanan.

3. Letakkan blok properti berikut di dalam kamus properti utama (di bawah yang pertama <dict>).

<key>NSAppTransportSecurity</key>
<dict>
    <key>NSExceptionDomains</key>
    <dict>
        <key>www.example.com</key>
        <dict>
            <key>NSExceptionAllowsInsecureHTTPLoads</key>
            <true/>
            <key>NSExceptionMinimumTLSVersion</key>
            <string>TLSv1.1</string>
            <key>NSIncludesSubdomains</key>
            <true/>
        </dict>
    </dict>
</dict>

Jika Anda perlu memberikan pengecualian untuk domain tambahan maka Anda akan menambahkan properti kamus lain di bawah NSExceptionDomains.

Untuk mengetahui lebih lanjut tentang kunci yang dirujuk di atas, baca teknik yang telah disebutkan ini .

Saya tidak suka mengedit daftar langsung. Anda dapat dengan mudah menambahkannya ke plist menggunakan GUI:

• Klik pada Info.plist di Navigator di sebelah kiri.

• Sekarang ubah data di area utama:

  • Pada baris terakhir tambahkan +
  • Masukkan nama grup: Pengaturan Keamanan Transport Transport
  • Klik kanan pada grup dan pilih Add Row
  • Masukkan Boleh Beban Sewenang-wenang
  • Setel nilai di sebelah kanan ke YA

Ada dua solusi untuk ini:

Solusi 1:

1. Dalam Info.plistfile, tambahkan kamus dengan kunci ' NSAppTransportSecurity'
2. Tambahkan elemen lain di dalam kamus dengan kunci 'Allow Arbitrary Loads'

Plist struktur akan muncul seperti yang ditunjukkan pada gambar di bawah ini.

Solusi 2:

1. Dalam Info.plistfile, tambahkan kamus dengan kunci ' NSAppTransportSecurity'
2. Tambahkan elemen lain di dalam kamus dengan kunci ' NSExceptionDomains'
3. Tambahkan elemen dengan kunci 'MyDomainName.com'tipe NSDictionary
4. Tambahkan elemen dengan kunci ' NSIncludesSubdomains' dari jenis Booleandan nilai yang ditetapkan sebagaiYES
5. Tambahkan elemen dengan kunci ' NSTemporaryExceptionAllowsInsecureHTTPLoads' dari jenis Booleandan nilai yang ditetapkan sebagaiYES

Plist struktur akan muncul seperti yang ditunjukkan pada gambar di bawah ini.

Solusi 2 lebih disukai karena hanya memungkinkan domain yang dipilih sedangkan solusi 1 memungkinkan semua koneksi HTTP tidak aman.

Keamanan transportasi tersedia di iOS 9.0 atau yang lebih baru. Anda mungkin memiliki peringatan ini ketika mencoba memanggil WS di dalam aplikasi Anda:

Aplikasi Transport Security telah memblokir sumber daya HTTP (http: //) cleartext karena tidak aman. Pengecualian sementara dapat dikonfigurasikan melalui file Info.plist aplikasi Anda.

Menambahkan berikut ini ke Info.plist Anda akan menonaktifkan ATS:

<key>NSAppTransportSecurity</key>
<dict>
     <key>NSAllowsArbitraryLoads</key><true/>
</dict>

Contoh Pengembangan

Berikut adalah screenshot dari sebuah plist yang membuat ATS tetap utuh (= aman), tetapi memungkinkan koneksi ke localhost dapat dilakukan melalui HTTP, bukan HTTPS . Ia bekerja di Xcode 7.1.1.

Buka Info.plist Anda

1. Klik kanan pada ruang kosong dan Klik Tambah Baris
2. Tulis Nama Kunci sebagai NSAppTransportSecurity, Di Bawahnya
3. Pilih Exception Domains, Tambahkan item baru ke ini
4. Tuliskan nama domain Anda yang perlu diakses
5. Ubah jenis Domain dari String ke Kamus, tambahkan Item baru
6. NSTingguanExceptionMemungkinkanInsecureHTTPLoads, itu akan menjadi boolean dengan nilai sebenarnya.

Menurut Apple, umumnya menonaktifkan ATS akan menyebabkan penolakan aplikasi, kecuali jika Anda memiliki alasan yang kuat untuk melakukannya. Meskipun begitu, Anda harus menambahkan pengecualian untuk domain yang dapat Anda akses dengan aman.

Apple memiliki alat luar biasa yang memberi tahu Anda dengan tepat pengaturan apa yang harus digunakan: Di Terminal, masukkan

/usr/bin/nscurl --ats-diagnostics --verbose https://www.example.com/whatever

dan nscurl akan memeriksa apakah permintaan ini gagal, dan kemudian mencoba berbagai pengaturan dan memberi tahu Anda yang mana yang lewat, dan apa yang harus dilakukan. Misalnya, untuk beberapa URL pihak ketiga yang saya kunjungi, perintah ini memberi tahu saya bahwa kamus ini lewat:

{
    NSExceptionDomains = {
        "www.example.com" = {
            NSExceptionRequiresForwardSecrecy = false;
        };
    };
}

Untuk membedakan antara situs Anda sendiri dan situs pihak ketiga yang berada di luar kendali Anda, gunakan, misalnya, tombol NSThirdPartyExceptionRequiresForwardSecrecy.

Mencari tahu pengaturan apa yang digunakan dapat dilakukan secara otomatis, sebagaimana disebutkan dalam teknik ini :

/usr/bin/nscurl --ats-diagnostics --verbose https://your-domain.com

CATATAN: Domain pengecualian di plist Anda harus dalam RENDAH-KASUS.

Contoh: Anda telah memberi nama mesin Anda "MyAwesomeMacbook" di bawah Pengaturan-> Berbagi; server Anda (untuk tujuan pengujian) berjalan di MyAwesomeMacbook.local: 3000, dan aplikasi Anda perlu mengirim permintaan ke http: //MyAwesomeMacbook.local: 3000 / file ..., daftar Anda, Anda harus menentukan "myawesomemacbook. lokal "sebagai domain pengecualian.

-

Info Anda akan berisi ...

<key>NSAppTransportSecurity</key>
<dict>
  <key>NSExceptionDomains</key>
  <dict>
    <key>myawesomemacbook.local</key>
    <dict>
      <!--Include to allow subdomains-->
      <key>NSIncludesSubdomains</key>
      <true/>
      <!--Include to allow HTTP requests-->
      <key>NSExceptionAllowsInsecureHTTPLoads</key>
      <true/>
    </dict>
  </dict>
</dict>

Menggunakan:

Tambahkan item baru, NSAppTransportSecurity , dalam file plist dengan jenis Kamus , kemudian tambahkan sub item NSAllowsArbitraryLoads dalam kamus tipe Boolean , dan tetapkan nilai bool YA . Ini bekerja untuk saya.

Pada 2015-09-25 (setelah pembaruan Xcode pada 2015-09-18):

Saya menggunakan metode non-malas, tetapi tidak berhasil. Berikut ini adalah percobaan saya.

Pertama,

<key>NSAppTransportSecurity</key>
<dict>
    <key>NSExceptionDomains</key>
    <dict>
        <key>www.xxx.yyy.zzz</key>
        <dict>
            <key>NSTemporaryExceptionAllowsInsecureHTTPLoads</key>
            <true/>
            <key>NSTemporaryExceptionMinimumTLSVersion</key>
            <string>TLSv1.1</string>
            <key>NSIncludesSubdomains</key>
            <true/>
        </dict>
    </dict>
</dict>

Dan kedua,

<key>NSAppTransportSecurity</key>
<dict>
    <key>NSExceptionDomains</key>
    <dict>
        <key>www.xxx.yyy.zzz</key>
        <dict>
            <key>NSExceptionAllowsInsecureHTTPLoads</key>
            <true/>
            <key>NSExceptionMinimumTLSVersion</key>
            <string>TLSv1.1</string>
            <key>NSIncludesSubdomains</key>
            <true/>
        </dict>
    </dict>
</dict>

Akhirnya, saya menggunakan metode malas:

<key>NSAppTransportSecurity</key>
<dict>
    <key>NSAllowsArbitraryLoads</key>
    <true/>
</dict>

Mungkin agak tidak aman, tetapi saya tidak dapat menemukan solusi lain.

Di swift 4 dan xocde 10 adalah mengubah NSAllowsArbitraryLoads untuk Memungkinkan Beban Sewenang-wenang. jadi akan terlihat seperti ini:

<key>App Transport Security Settings</key>
<dict>
     <key>Allow Arbitrary Loads</key><true/>
</dict>

Mungkin layak disebutkan bagaimana menuju ke sana ...

Info.plist adalah salah satu file di bawah Main.storyboard atau viewController.swift.

Ketika Anda mengkliknya pertama kali, biasanya dalam format tabel, jadi klik kanan file dan 'open as' Source code dan kemudian tambahkan kode di bawah ini sampai akhir, yaitu:

 <key>NSAppTransportSecurity</key><dict><key>NSAllowsArbitraryLoads</key><true/></dict>

Salin tempelkan kode tepat di atas

 "</dict>
</plist>"

yang pada akhirnya.

Pembaruan untuk Xcode 7.1, menghadapi masalah 27.10.15:

Nilai baru di Info.plist adalah "Pengaturan Keamanan Transport Transport". Dari sana, kamus ini harus berisi:

• Izinkan Beban Sewenang-wenang = YA
• Domain Pengecualian (masukkan di sini domain http Anda)

Bagi mereka yang datang ke sini mencoba mencari alasan mengapa WKWebView mereka selalu berwarna putih dan tidak memuat apa pun (persis seperti yang dijelaskan di sini bagaimana cara membuat WKWebView bekerja dengan cepat dan untuk Aplikasi MacOS ):

Jika semua ilmu roket di atas tidak berfungsi untuk Anda periksa yang jelas: pengaturan kotak pasir

Menjadi baru untuk cepat dan kakao, tetapi cukup berpengalaman dalam pemrograman saya menghabiskan sekitar 20 jam untuk menemukan solusi ini. Tak satu pun dari lusinan tutorial hipster-iOS atau intisari apel - tidak ada yang menyebutkan kotak centang kecil ini.

Secara default, iOS hanya membolehkan API HTTPS. Karena HTTP tidak aman, Anda harus menonaktifkan keamanan transportasi App. Ada dua cara untuk menonaktifkan ATS: -

1. Menambahkan kode sumber dalam project info.plist dan menambahkan kode berikut dalam tag root.

<key>NSAppTransportSecurity</key>
<dict>
    <key>NSAllowsArbitraryLoads</key>
    <true/>
</dict>

2. Menggunakan info proyek.

Klik proyek pada proyek di panel kiri, pilih proyek sebagai target dan pilih tab info. Anda harus menambahkan kamus di struktur berikut.

Bagaimana memperbaikinya?

Berikut langkah-langkah untuk memperbaikinya.

Menggunakan NSExceptionDomainsmungkin tidak menerapkan efek secara bersamaan karena situs target dapat memuat sumber daya (misalnya jsfile) dari domain eksternal berakhir http. Itu dapat diatasi dengan menambahkan domain eksternal ini NSExceptionDomainsjuga.

Untuk memeriksa sumber daya mana yang tidak dapat dimuat coba gunakan debugging jarak jauh. Ini tutorialnya: http://geeklearning.io/apache-cordova-and-remote-debugging-on-ios/

Untuk Cordova, jika Anda ingin menambahkannya ke ios.json Anda, lakukan hal berikut:

"NSAppTransportSecurity": [
   {
      "xml": "<dict><key>NSAllowsArbitraryLoads</key><true /></dict>"
   }
]

Dan itu harus di dalam:

"*-Info.plist": {
   "parents": {
   }
}

Seperti banyak yang telah dicatat, ini adalah masalah fitur yang datang dengan iOS 9.0. Mereka telah menambahkan sesuatu yang disebut Keamanan Transportasi Aplikasi, dan saya juga merasa terganggu ketika itu merusak Aplikasi saya.

Anda dapat membalutnya dengan kunci NSAllowsArbitraryLoads ke YA di bawah kamus NSAppTransportSecurity dalam file .plist Anda, tetapi pada akhirnya Anda harus menulis ulang kode yang membentuk URL Anda untuk membentuk HTTPS: // awalan.

Apple telah menulis ulang kelas NSUrlConnection di iOS 9.0. Anda dapat membacanya di NSURLConnection .

Selain itu, Anda mungkin harus mundur dari iOS 9.0 hingga Anda punya waktu untuk mengimplementasikan solusi yang benar.