iOS_HTTPS认证

HTTPS认证

1. 单向认证：指客户端验证服务端的身份，服务端不验证客户端身份
2. 双向认证：指客户端验证服务端身份，服务端也认证客户端身份，未通过认证的客户端在握手阶段直接断开连接，禁止访问服务器

单向认证

Https在建立Socket连接之前，需要进行握手。

1. 客户端向服务端发送SSL协议版本号、加密算法种类、随机数等信息
2. 服务端给客户端返回SSL协议版本号、加密算法种类、随机数等信息，同时也返回服务器端的证书，即公钥证书
3. 客户端使用服务端返回的信息验证服务器的合法性，包括:
   • 证书是否过期
   • 发信服务器证书的CA是否可靠
   • 返回的公钥是否能正确解开返回证书中的数字签名
   • 服务器证书上的域名是否和服务器的实际域名相匹配
   • 验证通过后，将继续进行通信，否则，终止通信
4. 客户端向服务端发送自己所能支持的对称加密方案，供服务器端进行选择
5. 服务器端在客户端提供的加密方案中选择加密程度最高的加密方式。
6. 服务器将选择好的加密方案通过明文方式返回给客户端
7. 客户端接收到服务端返回的加密方式后，使用该加密方式生成产生随机码，用作通信过程中对称加密的密钥，使用服务端返回的公钥进行加密，将加密后的随机码发送至服务器
8. 服务器收到客户端返回的加密信息后，使用自己的私钥进行解密，获取对称加密密钥。

9. 在接下来的会话中，服务器和客户端将会使用该密码进行对称加密，保证通信过程中信息的安全。

   
   

双向认证

双向认证建立在单向认证的基础上，需要自己去额外实现：
- 客户端保存、读取并将证书发送给服务端
- 服务端对证书实现自己的校验逻辑

双向认证中代理方法会收到两个类型的回调：
NSURLAuthenticationMethodServerTrust ：服务端发送证书给客户端，客户端进行证书校验，默认操作是使用跟证书（CA证书）进行合法校验；
NSURLAuthenticationMethodClientCertificate ：服务端要求客户端提供证书，此时客户端应将工程中的证书解析并传递给服务端。服务端一般也是做证书链校验，如果是有限访问，还会做证书主体的校验；

- (void)webView:(WKWebView *)webView didReceiveAuthenticationChallenge:(NSURLAuthenticationChallenge *)challenge completionHandler:(void (^)(NSURLSessionAuthChallengeDisposition, NSURLCredential * _Nullable))completionHandler {

    NSURLCredential *credential = nil;

    // 服务器验证
    if ([challenge.protectionSpace.authenticationMethod isEqualToString:NSURLAuthenticationMethodServerTrust]) {

        NSLog(@"----server verify client----");
        NSString *host = challenge.protectionSpace.host;
        SecTrustRef serverTrust = challenge.protectionSpace.serverTrust;
        BOOL validDomain = false;

        NSMutableArray *polices = [NSMutableArray array];
        if (validDomain) {
            [polices addObject:(__bridge_transfer id)SecPolicyCreateSSL(true, (__bridge CFStringRef)host)];
        } else{
            [polices addObject:(__bridge_transfer id)SecPolicyCreateBasicX509()];
        }
        SecTrustSetPolicies(serverTrust, (__bridge CFArrayRef)polices);
        // pin mode for certificate

        NSData *rootca_data = "Root_CA data数据";
        NSData *secondaryca_data = "secondaryca_data数据";

        NSMutableArray *pinnedCerts = [NSMutableArray arrayWithObjects:(__bridge_transfer id)SecCertificateCreateWithData(NULL, (__bridge CFDataRef)rootca_data),(__bridge_transfer id)SecCertificateCreateWithData(NULL, (__bridge CFDataRef)secondaryca_data), nil];

        SecTrustSetAnchorCertificates(serverTrust, (__bridge CFArrayRef)pinnedCerts);
        credential = [NSURLCredential credentialForTrust:challenge.protectionSpace.serverTrust];
        completionHandler(NSURLSessionAuthChallengeUseCredential, credential);

    } else if ([challenge.protectionSpace.authenticationMethod isEqualToString:NSURLAuthenticationMethodClientCertificate]) {
        // 客户端认证
        NSLog(@"----client verify server----");
        SecIdentityRef identity = NULL;
        SecTrustRef trust = NULL;

        NSString *p12_str = ".p12 数据";
        NSData *pkcs12Data = [Base64Manager dataFromBase64String:p12_str];

        if ([self extractIdentity:&identity andTrust:&trust fromPKCS12Data:pkcs12Data]) {
            SecCertificateRef certificate = NULL;
            SecIdentityCopyCertificate(identity, &certificate);
            const void *certs[] = {certificate};
            CFArrayRef certArray = CFArrayCreate(kCFAllocatorDefault, certs, 1, NULL);
            credential = [NSURLCredential credentialWithIdentity:identity certificates:(__bridge NSArray *)certArray persistence:NSURLCredentialPersistencePermanent];
            completionHandler(NSURLSessionAuthChallengeUseCredential, credential);
        } else {
            completionHandler(NSURLSessionAuthChallengeCancelAuthenticationChallenge, nil);
            return;
        }
    }
}
// 根据格式处理数据
- (NSData *)convertCerStringToData:(NSString *)cerStr {
    NSString * pubSpaceStr = [cerStr stringByReplacingOccurrencesOfString:@"\n" withString:@""];
    NSString * pubStartStr = [pubSpaceStr stringByReplacingOccurrencesOfString:@"-----BEGIN CERTIFICATE-----" withString:@""];
    NSString *pubEndStr = [pubStartStr stringByReplacingOccurrencesOfString:@"-----END CERTIFICATE-----" withString:@""];

    NSData *cerData = [[NSData alloc] initWithBase64EncodedString:pubEndStr options:0];

    return cerData;
}
// 读取p12文件中的密码
- (BOOL)extractIdentity:(SecIdentityRef *)outIdentity andTrust:(SecTrustRef *)outTrust fromPKCS12Data:(NSData *)inPKCS12Data {

    OSStatus securityErr = errSecSuccess;
// 根据项目中的策略所存在的密码
    NSString *passwd;
    NSDictionary *optionsDic = [NSDictionary dictionaryWithObject:passwd forKey:(__bridge id)kSecImportExportPassphrase];
    CFArrayRef items = CFArrayCreate(NULL, 0, 0, NULL);
    securityErr = SecPKCS12Import((__bridge CFDataRef)inPKCS12Data, (__bridge CFDictionaryRef)optionsDic, &items);

    if (securityErr == errSecSuccess) {
        CFDictionaryRef mineIdentAndTrust = CFArrayGetValueAtIndex(items, 0);
        const void *tmpIdentity = NULL;
        tmpIdentity = CFDictionaryGetValue(mineIdentAndTrust, kSecImportItemIdentity);

        *outIdentity = (SecIdentityRef)tmpIdentity;
        const void *tmpTrust = NULL;
        tmpTrust = CFDictionaryGetValue(mineIdentAndTrust, kSecImportItemTrust);
        *outTrust = (SecTrustRef)tmpTrust;

    } else {
        return false;
    }
    return true;
}