新闻搜索

新闻动态

HTTPS业务场景的解决方案

成都狮龙书廊科技有限责任公司长春分公司 2016-06-17 18:11:46 文字：【大】【中】【小】

摘要：HTTPS业务场景的解决方案

HTTPS业务场景的解决方案

1 背景说明

发送HTTPS请求首先要进行SSL/TLS握手，握手过程大致如下：

客户端发起握手请求，携带随机数、支持算法列表等参数。
服务端收到请求，选择合适的算法，下发公钥证书和随机数。
客户端对服务端证书进行校验，并发送随机数信息，该信息使用公钥加密。
服务端通过私钥获取随机数信息。
双方根据以上交互的信息生成session ticket，用作该连接后续数据传输的加密密钥。

上述过程中，和HTTPDNS有关的是第3步，客户端需要验证服务端下发的证书，验证过程有以下两个要点：

客户端用本地保存的根证书解开证书链，确认服务端下发的证书是由可信任的机构颁发的。
客户端需要检查证书的domain域和扩展域，看是否包含本次请求的host。

如果上述两点都校验通过，就证明当前的服务端是可信任的，否则就是不可信任，应当中断当前连接。

当客户端使用HTTPDNS解析域名时，请求URL中的host会被替换成HTTPDNS解析出来的IP，所以在证书验证的第2步，会出现domain不匹配的情况，导致SSL/TLS握手不成功。

2 解决方案

针对“domain不匹配”问题，可以采用如下方案解决：hook证书校验过程中第2步，将IP直接替换成原来的域名，再执行证书验证。

下面分别列出Android和iOS平台的示例代码。

2.1 Android示例

此示例针对HttpURLConnection接口。

		
			
			
				try {
			

			
				 String url = "https://140.205.160.59/?sprefer=sypc00";
			

			
				 HttpsURLConnection connection = (HttpsURLConnection) new URL(url).openConnection();
			

			
				 
			

			
				 connection.setRequestProperty("Host", "m.taobao.com");
			

			
				 connection.setHostnameVerifier(new HostnameVerifier() {
			

			
				 
			

			
				/*
			

			
				 * 关于这个接口的说明，官方有文档描述：
			

			
				 * This is an extended verification option that implementers can provide.
			

			
				 * It is to be used during a handshake if the URL's hostname does not match the
			

			
				 * peer's identification hostname.
			

			
				 *
			

			
				 * 使用HTTPDNS后URL里设置的hostname不是远程的主机名(如:m.taobao.com)，与证书颁发的域不匹配，
			

			
				 * Android HttpsURLConnection提供了回调接口让用户来处理这种定制化场景。
			

			
				 * 在确认HTTPDNS返回的源站IP与Session携带的IP信息一致后，您可以在回调方法中将待验证域名替换为原来的真实域名进行验证。
			

			
				 *
			

			
				 */
			

			
				 
			

			
				 @Override
			

			
				 public boolean verify(String hostname, SSLSession session) {
			

			
				 return HttpsURLConnection.getDefaultHostnameVerifier().
			

			
				 verify("m.taobao.com“, session);
			

			
				 return false;
			

			
				 }
			

			
				 });
			

			
				 
			

			
				 connection.connect();
			

			
				 } catch (Exception e) {
			

			
				 e.printStackTrace();
			

			
				 } finally {
			

			
				}

2.2 iOS示例

此示例针对NSURLSession/NSURLConnection接口。

		
			
			
				- (BOOL)evaluateServerTrust:(SecTrustRef)serverTrust
			

			
				 forDomain:(NSString *)domain
			

			
				{
			

			
				 /*
			

			
				 * 创建证书校验策略
			

			
				 */
			

			
				 NSMutableArray *policies = [NSMutableArray array];
			

			
				 if (domain) {
			

			
				 [policies addObject:(__bridge_transfer id)SecPolicyCreateSSL(true, (__bridge CFStringRef)domain)];
			

			
				 } else {
			

			
				 [policies addObject:(__bridge_transfer id)SecPolicyCreateBasicX509()];
			

			
				 }
			

			
				 
			

			
				 /*
			

			
				 * 绑定校验策略到服务端的证书上
			

			
				 */
			

			
				 SecTrustSetPolicies(serverTrust, (__bridge CFArrayRef)policies);
			

			
				 
			

			
				 
			

			
				 /*
			

			
				 * 评估当前serverTrust是否可信任，
			

			
				 * 官方建议在result = kSecTrustResultUnspecified 或 kSecTrustResultProceed
			

			
				 * 的情况下serverTrust可以被验证通过，https://developer.apple.com/library/ios/technotes/tn2232/_index.html
			

			
				 * 关于SecTrustResultType的详细信息请参考SecTrust.h
			

			
				 */
			

			
				 SecTrustResultType result;
			

			
				 SecTrustEvaluate(serverTrust, &result);
			

			
				 
			

			
				 return (result == kSecTrustResultUnspecified || result == kSecTrustResultProceed);
			

			
				}
			

			
				 
			

			
				/*
			

			
				 * NSURLConnection
			

			
				 */
			

			
				- (void)connection:(NSURLConnection *)connection
			

			
				willSendRequestForAuthenticationChallenge:(NSURLAuthenticationChallenge *)challenge
			

			
				{
			

			
				 if (!challenge) {
			

			
				 return;
			

			
				 }
			

			
				 
			

			
				 /*
			

			
				 * URL里面的host在使用HTTPDNS的情况下被设置成了IP，此处从HTTP Header中获取真实域名
			

			
				 */
			

			
				 NSString* host = [[self.request allHTTPHeaderFields] objectForKey:@"host"];
			

			
				 if (!host) {
			

			
				 host = self.request.URL.host;
			

			
				 }
			

			
				 
			

			
				 /*
			

			
				 * 判断challenge的身份验证方法是否是NSURLAuthenticationMethodServerTrust（HTTPS模式下会进行该身份验证流程），
			

			
				 * 在没有配置身份验证方法的情况下进行默认的网络请求流程。
			

			
				 */
			

			
				 if ([challenge.protectionSpace.authenticationMethod isEqualToString:NSURLAuthenticationMethodServerTrust])
			

			
				 {
			

			
				 if ([self evaluateServerTrust:challenge.protectionSpace.serverTrust forDomain:host]) {
			

			
				 /*
			

			
				 * 验证完以后，需要构造一个NSURLCredential发送给发起方
			

			
				 */
			

			
				 NSURLCredential *credential = [NSURLCredential credentialForTrust:challenge.protectionSpace.serverTrust];
			

			
				 [[challenge sender] useCredential:credential forAuthenticationChallenge:challenge];
			

			
				 } else {
			

			
				 /*
			

			
				 * 验证失败，取消这次验证流程
			

			
				 */
			

			
				 [[challenge sender] cancelAuthenticationChallenge:challenge];
			

			
				 }
			

			
				 } else {
			

			
				 /*
			

			
				 * 对于其他验证方法直接进行处理流程
			

			
				 */
			

			
				 [[challenge sender] continueWithoutCredentialForAuthenticationChallenge:challenge];
			

			
				 }
			

			
				}
			

			
				 
			

			
				////////////////////////////////////////////////////////////
			

			
				////////////////////////////////////////////////////////////
			

			
				////////////////////////////////////////////////////////////
			

			
				////////////////////////////////////////////////////////////
			

			
				 
			

			
				/*
			

			
				 * NSURLSession
			

			
				 */
			

			
				- (void)URLSession:(NSURLSession *)session task:(NSURLSessionTask *)task
			

			
				didReceiveChallenge:(NSURLAuthenticationChallenge *)challenge
			

			
				 completionHandler:(void (^)(NSURLSessionAuthChallengeDisposition disposition, NSURLCredential * __nullable credential))completionHandler
			

			
				{
			

			
				 if (!challenge) {
			

			
				 return;
			

			
				 }
			

			
				 
			

			
				 NSURLSessionAuthChallengeDisposition disposition = NSURLSessionAuthChallengePerformDefaultHandling;
			

			
				 NSURLCredential *credential = nil;
			

			
				 
			

			
				 /*
			

			
				 * 获取原始域名信息。
			

			
				 */
			

			
				 NSString* host = [[self.request allHTTPHeaderFields] objectForKey:@"host"];
			

			
				 if (!host) {
			

			
				 host = self.request.URL.host;
			

			
				 }
			

			
				 
			

			
				 if ([challenge.protectionSpace.authenticationMethod isEqualToString:NSURLAuthenticationMethodServerTrust]) {
			

			
				 if ([self evaluateServerTrust:challenge.protectionSpace.serverTrust forDomain:host]) {
			

			
				 disposition = NSURLSessionAuthChallengeUseCredential;
			

			
				 credential = [NSURLCredential credentialForTrust:challenge.protectionSpace.serverTrust];
			

			
				 } else {
			

			
				 disposition = NSURLSessionAuthChallengeCancelAuthenticationChallenge;
			

			
				 }
			

			
				 } else {
			

			
				 disposition = NSURLSessionAuthChallengePerformDefaultHandling;
			

			
				 }
			

			
				 // 对于其他的challenges直接使用默认的验证方案
			

			
				 completionHandler(disposition,credential);
			

			
				}

感谢您的反馈！

浏览 (103) | 评论 (0) | 评分(0) | 支持(0) | 反对(0) | 发布人：毛凌国.中国

将本文加入收藏夹

新闻动态

企业新闻行业动态产品知识友情链接网站开发人物分享

请输入内容<--狮龙书廊跑马灯文件代码区->

感谢您注册参加技术达人“秀”—“数字化变革新旗舰5K智能协作终端发布”在线研讨会。

	活动日期：2017年6月8日
	北京时间：上午10:00-11:00
	活动号：204 914 711
	活动密码：170608

网站编辑@ 2017 年成都狮龙书廊科技有限责任公司。
Cisco、Cisco Systems和Cisco Systems标志是思科系统有限公司和/或其子公司在中国和特定国家和地区的商标或注册商标。
本文中涉及的所有其它商标均属于各自所有者的资产。

请输入内容

欢迎参加第五届豆瓣阅读征文大赛

详情

豆瓣阅读　　发送至 public　　

隐藏

发件人：豆瓣阅读　　

收件人：

public　　

抄　送：

密　送：

时　间：2017-08-11 15:28

时　间：

地　点：

邮件已加密，收件方查看邮件需要密码。邮件已加密，密码：

回复
转发

查看译文

查看原文

对照显示

正在翻译，请稍候...

第五届豆瓣阅读征文大赛自 7 月 14 日开放投稿，征稿期已经过半，欢迎感兴趣的你继续来参加。已经创建草稿的作者们，也请记得在截稿之前完成提交。
本届大赛围绕「女性」「悬疑」「科幻」「奇幻」「文艺」五个小说类型，设有「新女性故事：职业」「新女性故事：单身状态」「生活悬疑」「科幻故事」「城市奇幻」「文艺小说」六个组别。每组各设：首奖 1 名，奖金 2 万元；优秀奖 3 名，奖金各 1 万元。另设多项特别奖和合作方奖项，奖金各 1 万元。这是豆瓣阅读迄今以来，主题最多样、奖项最丰富的一次征文大赛。
本届大赛截稿时间为 2017 年 9 月 4 日 23:59，请访问 https://read.douban.com/competition/2017/ 进行投稿（提交作品请在电脑网页端操作）。投稿时需选择其中一组，不可同时参加。每位参赛者仅限提交 1 部作品，提交之后不可修改或更换作品。参赛作品字数在 2 万字至 5 万字，以简体中文写作，体裁为小说。参赛作品必须未曾公开发表过，未曾获得任何奖项。
征稿期还剩三周，请抓紧时间完成你的参赛作品吧！
投稿点这里： https://read.douban.com/competition/2017/
豆瓣阅读