猖獗的假新聞：2017年1月1日起iOS的APP必須使用HTTPS！！！

標籤：released   apple   tls   發布   預設   安全   架構   自己   style   

一、假新聞如此猖獗

　　剛才一位老同事 打電話問：我們公司還是用的HTTP，馬上就到2017年了，提交AppStore會被拒絕，怎麼辦？

　　公司裡已經有很多人問過這個問題，回答一下： HTTP還是可以正常提交，不滿足 蘋果要求的 HTTPS 也可以正常提交。只需要修改下info.plist裡的ATS配置。

　　昨天（2016-12-21）蘋果發布聲明，HTTPS的適配規則往後延，時間還沒定。也就是現在，大家什麼都不用改了。

 

　　以前寫過相關的文章：iOS的ATS配置 - 2017年前ATS規定的適配 。文章中也說過2017年1月1日後使用HTTP修改ATS配置即可。後來沒想到假新聞會傳播的如此瘋狂。

 

　　我們來看看這個假新聞是怎麼快速傳播並被把忽悠大家的：新聞的起源是 蘋果開發人員大會WWDC 2016上，蘋果首席安全架構師 Ivan提到的：2016年末ATS將成為所有應用程式上傳到AppStore 的要求。

 

　　iOS開發人員都知道， 從iOS 9 ATS出來後，大家都喜歡用 Allow Arbitrary Loads 選項來忽略ATS。如果不忽略ATS，APP就會強制使用HTTPS。

　　當時WWDC 2016上Ivan說的是 從 2017 年 1 月 1 日起，所有的新提交 app 預設是不允許使用 NSAllowsArbitraryLoads 來繞過 ATS 限制。可以通過配置ATS來進行適配。

 

　　然而 網路上的各種文章開始瘋狂的傳播：2017年1月1日起，必現用HTTPS才能通過審核！必現滿足蘋果對HTTPS認證和加密規則的要求！

　　剛開始是IT軟文，然後就是iOS開發人員在自己的部落格裡不斷傳播。好吧，說明很多人寫技術部落格看到別人的觀點 也不進行驗證真假，直接拿來用。並且現在絕大多數的文章都是錯的，這個有點恐怖。。。

　　連大多數的技術文章說的都是假的，想想其他社會新聞，假的會更多吧。  媒體的力量可以影響你的認知，哪怕這個認知是錯的。

 

　　後來 在論壇中 蘋果官方人員也給出過解釋：What has changed is that App Review will require “reasonable justification” for most ATS exceptions. The goal here is to flush out those folks who, when ATS was first released, simply turned it off globally and moved on. That will no longer be allowed.

 

　　意思：不符合ATS要求的，需要進行說明理由。不能全域關閉ATS，即：不能再用NSAllowsArbitraryLoads了。

　　但是可以用ATS的Exception Domains屬性進行相關配置。只需要提交的時候說明下原因就可以了。

　　比如：HTTP請求、不滿足HTTPS要求的情況，如：TLS協議版本低、ForwardSecrecy演算法不滿足規則。等，這些都可以進行配置。

 

　　另外，昨天的時候，蘋果又有了新動作：2017年1月1日，你可以繼續關閉ATS：

　　新聞地址：https://developer.apple.com/news/?id=12212016b

 

 

大體意思：為了給你們更多的時間來準備，這個最終期限已經延長，具體什麼時間還沒定。

 

所以，現在大家現在 什麼都不用修改了。。

 

二、如何適配HTTPS

因為我們的APP已經適配了HTTPS了。現在還用HTTP 不安全，確實太low了。說下如何適配HTTPS吧：

1、更新sdk：友盟、個推 等，這些第三方sdk都已經適配HTTPS了

2、介面的網域名稱如果 滿足蘋果HTTPS的規則，就不用配置，如果不滿足機會需要根據自己的情況配置，如：

 

3、我們的營運也在積極的適配，如果用的nginx，可以直接在nginx中配置ssl_ciphers選項，我們公司用的 Red ware（類似F5，以色列的裝置），就需要單獨配置了。

 

猖獗的假新聞：2017年1月1日起iOS的APP必須使用HTTPS！！！