AFNetworking 3.0 源码阅读笔记（七）

最新推荐文章于 2023-02-07 15:53:38 发布
最新推荐文章于 2023-02-07 15:53:38 发布
阅读量855 收藏
点赞数
分类专栏： iOS框架源码分析系列 文章标签： security

原文：http://itangqi.me/2016/05/20/the-notes-of-learning-afnetworking-seven/

前言

自 iOS 9 发布之后，由于新特性 App Transport Security 的引入，在默认行为下是不能发送 HTTP 请求的。很多网站都在转用 HTTPS，而 AFNetworking 中的 AFSecurityPolicy 就是为了阻止中间人攻击，以及其它漏洞的工具。

AFSecurityPolicy 主要作用就是验证 HTTPS 请求的证书是否有效，如果应用中有一些敏感信息或者涉及交易信息，一定要使用 HTTPS 来保证交易或者用户信息的安全。

AFSSLPinningMode

使用 AFSecurityPolicy 时，总共有三种验证服务器是否被信任的方式：

1
2
3
4
5

typedef NS_ENUM(NSUInteger, AFSSLPinningMode) {
    AFSSLPinningModeNone,
    AFSSLPinningModePublicKey,
    AFSSLPinningModeCertificate,
};

AFSSLPinningModeNone

  • 这个模式不做本地证书验证（不做 SSL Pinning 操作）
  • 直接从客户端系统中的受信任颁发机构 CA 列表中去验证

AFSSLPinningModePublicKey

  • 客户端需要一份证书文件的拷贝
  • 验证时只验证证书里的公钥，不验证证书的有效期等信息
  • 即使伪造证书的公钥，也不能解密传输的数据，必须要私钥

AFSSLPinningModeCertificate

  • 客户端需要一份证书文件的拷贝
  • 第一步验证、先验证证书的域名/有效期等信息
  • 第二步验证、对比服务端返回的证书跟客户端存储的证书是否一致

初始化以及设置

在使用 AFSecurityPolicy 验证服务端是否受到信任之前，要对其进行初始化，使用初始化方法时，主要目的是设置验证服务器是否受信任的方式：

1
2
3
4
5
6
7
8
9
10
11
12

+ (instancetype)policyWithPinningMode:(AFSSLPinningMode)pinningMode {
    return [self policyWithPinningMode:pinningMode withPinnedCertificates:[self defaultPinnedCertificates]];
}

+ (instancetype)policyWithPinningMode:(AFSSLPinningMode)pinningMode withPinnedCertificates:(NSSet *)pinnedCertificates {
    AFSecurityPolicy *securityPolicy = [[self alloc] init];
    securityPolicy.SSLPinningMode = pinningMode;

    [securityPolicy setPinnedCertificates:pinnedCertificates];

    return securityPolicy;
}

这里没有什么地方值得解释的。不过在调用 pinnedCertificate 的 setter 方法时，会从全部的证书中取出公钥保存到 pinnedPublicKeys 属性中：

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17

- (void)setPinnedCertificates:(NSSet *)pinnedCertificates {
    _pinnedCertificates = pinnedCertificates;

    if (self.pinnedCertificates) {
        NSMutableSet *mutablePinnedPublicKeys = [NSMutableSet setWithCapacity:[self.pinnedCertificates count]];
        for (NSData *certificate in self.pinnedCertificates) {
            id publicKey = AFPublicKeyForCertificate(certificate);
            if (!publicKey) {
                continue;
            }
            [mutablePinnedPublicKeys addObject:publicKey];
        }
        self.pinnedPublicKeys = [NSSet setWithSet:mutablePinnedPublicKeys];
    } else {
        self.pinnedPublicKeys = nil;
    }
}

在这里调用了 AFPublicKeyForCertificate 对证书进行操作，返回一个公钥。

操作 SecTrustRef

对 serverTrust 的操作的函数基本上都是 C 的 API，都定义在 Security 模块中，先来分析一下在上一节中 AFPublicKeyForCertificate 的实现：

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46

static id AFPublicKeyForCertificate(NSData *certificate) {
    // 1. 初始化临时变量
    id allowedPublicKey = nil;
    SecCertificateRef allowedCertificate;
    SecCertificateRef allowedCertificates[1];
    CFArrayRef tempCertificates = nil;
    SecPolicyRef policy = nil;
    SecTrustRef allowedTrust = nil;
    SecTrustResultType result;
    
    // 2. 因为此处传入的 certificate 参数是 NSData 类型的，所以使用 `SecCertificateCreateWithData` 通过 DER 表示的数据生成一个 `SecCertificateRef` 对象，然后判断返回值是否为 `NULL`
    allowedCertificate = SecCertificateCreateWithData(NULL, (__bridge CFDataRef)certificate);
    __Require_Quiet(allowedCertificate != NULL, _out);

    // 3. 通过上面的 `allowedCertificate` 创建一个 `CFArray`
    allowedCertificates[0] = allowedCertificate;
    tempCertificates = CFArrayCreate(NULL, (const void **)allowedCertificates, 1, NULL);

    // 4. 创建一个默认的符合 X509 标准的 `SecPolicyRef`，通过默认的 `SecPolicyRef` 和证书创建一个 `SecTrustRef` 用于信任评估，对该对象进行信任评估，确认生成的 `SecTrustRef` 是值得信任的，这里使用的 __Require_noErr_Quiet 和上面的宏差不多，只是会根据返回值判断是否存在错误
    policy = SecPolicyCreateBasicX509();
    __Require_noErr_Quiet(SecTrustCreateWithCertificates(tempCertificates, policy, &allowedTrust), _out);
    __Require_noErr_Quiet(SecTrustEvaluate(allowedTrust, &result), _out);
    
    // 5. 获取公钥，这里的 __bridge_transfer 会将结果桥接成 NSObject 对象，然后将 SecTrustCopyPublicKey 返回的指针释放
    allowedPublicKey = (__bridge_transfer id)SecTrustCopyPublicKey(allowedTrust);

_out:
    // 6. 释放各种 C 语言指针
    if (allowedTrust) {
        CFRelease(allowedTrust);
    }

    if (policy) {
        CFRelease(policy);
    }

    if (tempCertificates) {
        CFRelease(tempCertificates);
    }

    if (allowedCertificate) {
        CFRelease(allowedCertificate);
    }

    return allowedPublicKey;
}

每一个 SecTrustRef 的对象都是包含多个 SecCertificateRef 和 SecPolicyRef。其中 SecCertificateRef 可以使用 DER 进行表示，并且其中存储着公钥信息。

对它的操作还有 AFCertificateTrustChainForServerTrust 和 AFPublicKeyTrustChainForServerTrust 但是它们几乎调用了相同的 API：

1
2
3
4
5
6
7
8
9
10
11
12
13

static NSArray * AFCertificateTrustChainForServerTrust(SecTrustRef serverTrust) {
    // 1. 使用 SecTrustGetCertificateCount 函数获取到 serverTrust 中需要评估的证书链中的证书数目，并保存到 certificateCount 中
    CFIndex certificateCount = SecTrustGetCertificateCount(serverTrust);
    NSMutableArray *trustChain = [NSMutableArray arrayWithCapacity:(NSUInteger)certificateCount];
    // 2. 使用 SecTrustGetCertificateAtIndex 函数获取到证书链中的每个证书，并添加到 trustChain 中，最后返回 trustChain
    for (CFIndex i = 0; i < certificateCount; i++) {
        SecCertificateRef certificate = SecTrustGetCertificateAtIndex(serverTrust, i);
        // 3. 使用 SecCertificateCopyData 从证书中或者 DER 表示的数据
        [trustChain addObject:(__bridge_transfer NSData *)SecCertificateCopyData(certificate)];
    }

    return [NSArray arrayWithArray:trustChain];
}

验证服务端是否受信

验证服务端是否守信是通过 - [AFSecurityPolicy evaluateServerTrust:forDomain:] 方法进行的，也是 AFSecurityPolicy 类中的核心方法：

1
2
3
4
5
6
7
8
9
10
11
12
13
14

- (BOOL)evaluateServerTrust:(SecTrustRef)serverTrust
                  forDomain:(NSString *)domain
{

    #1：不能隐式地信任自己签发的证书

    #2：设置 policy
    
    #3：验证证书是否有效

    #4：根据 SSLPinningMode 对服务端进行验证
    
    return NO;
}

1. 不能隐式地信任自己签发的证书

1
2
3
4

if (domain && self.allowInvalidCertificates && self.validatesDomainName && (self.SSLPinningMode == AFSSLPinningModeNone || [self.pinnedCertificates count] == 0)) {
    NSLog(@"In order to validate a domain name for self signed certificates, you MUST use pinning.");
    return NO;
}

Do not implicitly trust self-signed certificates as anchors (kSecTrustOptionImplicitAnchors).
Instead, add your own (self-signed) CA certificate to the list of trusted anchors.

所以如果没有提供证书或者不验证证书，并且还设置 allowInvalidCertificates 为真，满足上面的所有条件，说明这次的验证是不安全的，会直接返回 NO。

2. 设置 policy

1
2
3
4
5
6

NSMutableArray *policies = [NSMutableArray array];
if (self.validatesDomainName) {
    [policies addObject:(__bridge_transfer id)SecPolicyCreateSSL(true, (__bridge CFStringRef)domain)];
} else {
    [policies addObject:(__bridge_transfer id)SecPolicyCreateBasicX509()];
}

如果要验证域名的话，就以域名为参数创建一个 SecPolicyRef，否则会创建一个符合 X509 标准的默认 SecPolicyRef 对象。

3. 验证证书的有效性

1
2
3
4
5

if (self.SSLPinningMode == AFSSLPinningModeNone) {
    return self.allowInvalidCertificates || AFServerTrustIsValid(serverTrust);
} else if (!AFServerTrustIsValid(serverTrust) && !self.allowInvalidCertificates) {
    return NO;
}

  • 如果只根据信任列表中的证书进行验证，即 self.SSLPinningMode == AFSSLPinningModeNone。如果允许无效的证书的就会直接返回 YES。不允许就会对服务端信任进行验证

  • 如果服务器信任无效，并且不允许无效证书，就会返回 NO

4. 根据 SSLPinningMode 对服务器信任进行验证

1
2
3
4
5
6
7
8
9
10
11

switch (self.SSLPinningMode) {
    case AFSSLPinningModeNone:
    default:
        return NO;
    case AFSSLPinningModeCertificate: {
        ...
    }
    case AFSSLPinningModePublicKey: {
        ...
    }
}
AFSSLPinningModeNone 直接返回 NO
AFSSLPinningModeCertificate
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20

NSMutableArray *pinnedCertificates = [NSMutableArray array];
for (NSData *certificateData in self.pinnedCertificates) {
    [pinnedCertificates addObject:(__bridge_transfer id)SecCertificateCreateWithData(NULL, (__bridge CFDataRef)certificateData)];
}
SecTrustSetAnchorCertificates(serverTrust, (__bridge CFArrayRef)pinnedCertificates);

if (!AFServerTrustIsValid(serverTrust)) {
    return NO;
}

// obtain the chain after being validated, which *should* contain the pinned certificate in the last position (if it's the Root CA)
NSArray *serverCertificates = AFCertificateTrustChainForServerTrust(serverTrust);
            
for (NSData *trustChainCertificate in [serverCertificates reverseObjectEnumerator]) {
    if ([self.pinnedCertificates containsObject:trustChainCertificate]) {
        return YES;
     }
}
            
return NO;
  1. 从 self.pinnedCertificates 中获取 DER 表示的数据
  2. 使用 SecTrustSetAnchorCertificates 为服务器信任设置证书
  3. 判断服务器信任的有效性
  4. 使用 AFCertificateTrustChainForServerTrust 获取服务器信任中的全部 DER 表示的证书
  5. 如果 pinnedCertificates 中有相同的证书，就会返回 YES
AFSSLPinningModePublicKey
1
2
3
4
5
6
7
8
9
10
11

NSUInteger trustedPublicKeyCount = 0;
NSArray *publicKeys = AFPublicKeyTrustChainForServerTrust(serverTrust);

for (id trustChainPublicKey in publicKeys) {
    for (id pinnedPublicKey in self.pinnedPublicKeys) {
        if (AFSecKeyIsEqualToKey((__bridge SecKeyRef)trustChainPublicKey, (__bridge SecKeyRef)pinnedPublicKey)) {
            trustedPublicKeyCount += 1;
        }
     }
 }
return trustedPublicKeyCount > 0;

这部分的实现和上面的差不多，区别有两点：

  1. 会从服务器信任中获取公钥
  2. pinnedPublicKeys 中的公钥与服务器信任中的公钥相同的数量大于 0，就会返回真

与 AFURLSessionManager 协作

在代理协议 - URLSession:didReceiveChallenge:completionHandler: 或者 - URLSession:task:didReceiveChallenge:completionHandler: 代理方法被调用时会运行这段代码

1
2
3
4
5
6
7
8
9
10

if ([challenge.protectionSpace.authenticationMethod isEqualToString:NSURLAuthenticationMethodServerTrust]) {
    if ([self.securityPolicy evaluateServerTrust:challenge.protectionSpace.serverTrust forDomain:challenge.protectionSpace.host]) {
        disposition = NSURLSessionAuthChallengeUseCredential;
        credential = [NSURLCredential credentialForTrust:challenge.protectionSpace.serverTrust];
    } else {
        disposition = NSURLSessionAuthChallengeRejectProtectionSpace;
    }
} else {
    disposition = NSURLSessionAuthChallengePerformDefaultHandling;
}

NSURLAuthenticationChallenge 表示一个认证的挑战，提供了关于这次认证的全部信息。它有一个非常重要的属性 protectionSpace，这里保存了需要认证的保护空间, 每一个 NSURLProtectionSpace 对象都保存了主机地址，端口和认证方法等重要信息。

在上面的方法中，如果保护空间中的认证方法为 NSURLAuthenticationMethodServerTrust，那么就会使用在上一小节中提到的方法 - [AFSecurityPolicy evaluateServerTrust:forDomain:] 对保护空间中的 serverTrust 以及域名 host 进行认证

根据认证的结果，会在 completionHandler 中传入不同的 disposition 和 credential 参数。

小结

  • AFSecurityPolicy 同样也作为一个即插即用的模块，在 AFNetworking 中作为验证 HTTPS 证书是否有效的模块存在，在 iOS 对 HTTPS 日渐重视的今天，在我看来，使用 HTTPS 会成为今后 API 开发的标配。

总结

到这里，AFNetworking 源码阅读之旅（UIKit+AFNetworking 除外）就要告一段落了，定有许多不足与遗憾。不过没关系，就让我们去实践中将理论升华，想必到时候一定会有一番新的体会。

参考

冷小G
关注
  • 0
    点赞
  • 踩
  • 0
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
专栏目录
iOS AFN3.0以后版本Https证书校验
王正魁
04-27 1731
1.validatesDomainName validatesDomainName是否需要验证域名，默认为YES；2.pinnedCertificatespinnedCertificates 就是用来校验服务器返回证书的证书3.allowInvalidCertificatesallowInvalidCertificates 定义了客户端是否信任非法证书4.policyWithPinningMode...
iOS 的三种自建证书方法https请求相关配置
04-16 2209
如果你的app服务端安装的是SLL颁发的CA，可以使用系统方法直接实现信任SSL证书，关于Apple对SSL证书的要求请参考：苹果官方文档CertKeyTrustProgGuide 这种方式不需要在Bundle中引入CA文件，可以交给系统去判断服务器端的证书是不是SSL证书，验证过程也不需要我们去具体实现。 第1种 #import “ViewController.h” #import “HttpM..................
mac开发错误：errSecInternalComponent
weixin_30555753的博客
06-04 1616
errSecInternalComponent Command CodeSign failed with a nonzero exit code 修改方法： Build Settings -> Signing -> Code Signing Identity 把值从Mac Developer修改为Sign to Run Locally 转载于:https...
[pinnedCertificates addObject:(__bridge_transfer id)SecCertificateCreateWithData(NULL, (__bridge CFD
Number_One_2015的博客
05-12 303
替换 pining cert（https cert）run项目就报错了 [pinnedCertificates addObject:(__bridge_transfer id)SecCertificateCreateWithData(NULL, (__bridge CFDataRef)certificateData)]; 为 nil 直接crash了 解决方法如下： https://www.jianshu.com/p/74465973da5e 感谢这位网友的方法，完美解决 ...
Run custom shell script '[cp] embed pods frameworks ..... errSecInternalComponent
ios_xumin的专栏
02-25 1528
项目添加证书后, clean 然后 打包, 一直报错:Run custom shell script '[cp] embed pods frameworks ..... errSecInternalComponent 看起来好像是AFnetworking的错， 原因: 这似乎是签名机制(code signing mechanism) 的 bug, Xcode 中账号多了，就会产生很多...
IOS HTTPS 服务器信任评估
u012182853的博客
03-02 3395
HTTPS 服务器信任评估当你进行HTTPS连接时，客户端必须评估服务器是否可信。如果评估失败，客服端应该取消连接。这种情况可能由于各种原因，例如，服务器使用自己签名的证书，中间证书缺失等。还有一些恶意情况，服务器可能是个为了盗窃用户数据的冒充服务器。HTTPS 相关概念• 验证咨询（authentication challenge） - 它是一个HTTP或者HTTPS的响应，指示服务器请求客服端...
AFNetworking3.0封装网络请求功能
04-05
作者caixindong，源码XDNetworking，基于AFNetworking3.0封装网络请求功能，API面向业务层更友好，基础功能包括GET、POST、下载、单文件上传、多文件上传、取消网络请求。此外拓展出缓存功能，缓存分为内存缓存和...
《AFNetworking 3.0 源码解读》系列文章整理版
12-15
AFNetworking 3.0 源码解读 系列文章的整理全篇版，强烈推荐，分章可查看我的博客
基于AFNetworking3.0的请求封装
04-05
作者lianleven，源码LYHTTPClient，最近很多人问一些基于AFNetworking3.0网络请求的封装，其实不用真的不用封装，唯一需要封装的地方就是客户端做缓存，统一把所有请求做了缓存接口。缓存用的是YYCache。基于...
基于AFNetworking 3.0的集约性网络请求API再封装
04-05
作者SummerHF，源码AFNetworking-，关于AFNetworking 3.0NSURLConnection的API已废弃 AFNetworking 1.0 是建立在 NSURLConnection基础上的，AFNetworking 2.0 开始使用基于 NSURLConnection *API基础功能，同时也有...
AFNetworking3.0简单的二次封装网络请求
04-06
作者allenjzl，源码JZLNetworking，AFNetworking3.0简单的二次封装网络请求。
Mac 为[email protected] 签名报错errSecInternalComponent
qq_38084802的博客
02-07 410
一番查找后发现是钥匙串没有授权, 访问签名失败,执行上面这句 跟着输入mac机器密码，再执行签名即可。
xcode打包签名访问失败errSecInternalComponent
weixin_30376509的博客
05-16 4170
错误信息 /Users/xxxx/Library/Developer/Xcode/DerivedData/Unity-iPhone-bzwyypshqjwshtbpohwldjmqkstx/Build/Intermediates.noindex/ArchiveIntermediates/Unity-iPhone/IntermediateBuildFilesPath/UninstalledProd...
”_SecCertificateCopyData", referenced from:
桥边风满袖的博客
11-22 741
解决方法：需要添加一个Security.framework即可
『IOS』Xcode工程中 添加AFNetworking出错_SecCertificateCreateWithData _SecTrustGetCertificateCount
fallenink的专栏
08-14 1682
Undefined symbols for architecture armv7:   "_SecTrustGetCertificateCount", referenced from:       -[AFURLConnectionOperation connection:willSendRequestForAuthenticationChallenge:] in AFURLConne
iOS 生成 SecKeyRef 的正规方式
u013712343的博客
07-19 793
iOS 生成 SecKeyRef 的正规方式 前言 针对 macOS 的开发，多年以前苹果就弃用了 OpenSSL，转而推荐自有框架 Security 和 CommonCrypto。当然你仍然可以使用 OpenSSL，比如说在 iOS 上使用开源库OpenSSL for iPhone。 苹果有一套自己的方式来生成各种密钥（对称加密、非对称加密），你可以查看苹果的 sample codeCryptoExercise，来了解如何在苹果自有平台（macOS、iOS、 tvOS 等等）上使用这一套机制。 ..
iOS HTTPS双向认证以及证书操作
weixin_34255055的博客
12-20 568
待完善 ###双向认证 双向认证代理处理 简单的请求 NSURL *url = [NSURL URLWithString:[NSString stringWithFormat:@"https://192.168.31.63:443"]]; // 2.创建一个网络请求 NSURLRequest *request =[NSURLRequest requestWithURL:u...
Xcode工程中 添加AFNetworking出错_SecCertificateCreateWithData _SecTrustGetCertificateCount
若梦的专栏
11-23 4111
添加AFNetworking出错啦 简要信息如下->_SecTrustGetCertificateCount-_SecTrustGetCertificateAtIndex-_SecCertificateCopyData-_SecPolicyCreateBasicX509-_SecCertificateCreateWithData-_SecPolicyCreateBasicX509-_SecTrustCreateWithCertificates-_SecTrustEvaluate-_SecTrustCopyP
thinkphp3.0源码
最新发布
01-12
ThinkPHP 3.0源码是指这个版本框架的源代码，通过阅读和理解源码，我们可以深入了解框架的设计思想、工作原理以及具体的实现方式。 ThinkPHP框架的源码以MVC（Model-View-Controller）模式组织，将应用程序分为模型...

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值