iOS9的ATS(App Transport Security)

0x00问题
在建立HTTPS连接时，在iOS8上测试正常的代码，在iOS9报错：
NSURLSession/NSURLConnectionHTTP load failed (kCFStreamErrorDomainSSL, -9802)

0x01分析
原因是iOS9引入了新的机制，App Transport Security(ATS)。ATS将所有HTTP连接强制转化为HTTPS。对于服务器有如下要求：
1.支持TLSV1.2
2.证书必须由SHA-2或ECC（密钥256位以上）或RSA（密钥2048位以上）
3.服务器须支持forwardsecrecy（FS）：

TLS_ECDHE_ECDSA_WITH_AES_256_GCM_SHA384
TLS_ECDHE_ECDSA_WITH_AES_128_GCM_SHA256
TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA384
TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA
TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA256
TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA
TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384
TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256
TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA384
TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256
TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA

官方资料链接：https://developer.apple.com/library/prerelease/ios/documentation/General/Reference/InfoPlistKeyReference/Articles/CocoaKeys.html

检查服务器配置后发现，证书的签名算法时SHA1，不满足以上要求，因此连接会被系统拒绝。

0x02NSAppTransportSecurity

在info.plist文件中加入以下代码，可以关闭ATS，就不会报错了。

<key>NSAppTransportSecurity</key>

<dict>
<key>NSAllowsArbitraryLoads</key>

<true/>

</dict>

NSAppTransportSecurity配置项如下：

Key	Type	Description
NSExceptionDomains	Dictionary	定义特殊的域名，每个key是一个域名的字符串。通过定义它可以标志对于某些域名特殊处理。
NSIncludesSubdomains	Boolean	如果设置为YES，将规则应用到所有子域名。默认为NO。
NSExceptionAllowsInsecureHTTPLoads	Boolean	如果设置为YES，允许指定的域名使用不安全的HTTP访问。将允许无证书的连接，证书不合法，主机名和证书中不符合等情况。默认值为NO。
NSExceptionRequiresForwardSecrecy	Boolean	控制域名是否支持forward secrecy(FS)。 默认值是YES，使用ATS连接时必须使用以下加密算法 TLS_ECDHE_ECDSA_WITH_AES_256_GCM_SHA384 TLS_ECDHE_ECDSA_WITH_AES_128_GCM_SHA256 TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA384 TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA256 TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384 TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256 TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA384 TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256 TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA
NSExceptionMinimumTLSVersion	String	设置TLS(Transport Layer Security)的最低支持版本，可选值为： TLSv1.0 TLSv1.1 TLSv1.2（默认值）
NSAllowsArbitraryLoads	Boolean	如果设置为YES，所有NSExceptionDomains没有列出的域名将不使用ATS。默认为NO。