iOS：NSInputStream / NSOutputStream - CFNetwork SSLHandshake 失败 (-9806)答案

【问题标题】：iOS : NSInputStream / NSOutputStream - CFNetwork SSLHandshake failed (-9806)iOS：NSInputStream / NSOutputStream - CFNetwork SSLHandshake 失败 (-9806)
【发布时间】：2017-02-05 15:21:56
【问题描述】：

我正在尝试打开安全服务器的输入/输出流，但不断收到 CFNetwork SSLHandshake failed (-9806)

我已经为异常域等设置了 plist 值

<key>NSAppTransportSecurity</key>
<dict>
    <key>NSExceptionDomains</key>
    <dict>
        <key>someserver.com</key>
        <dict>
            <key>NSIncludesSubdomains</key>
            <true/>
            <key>NSThirdPartyExceptionMinimumTLSVersion</key>
            <string>TLSv1.0</string>
            <key>NSThirdPartyExceptionRequiresForwardSecrecy</key>
            <false/>
            <key>NSTemporaryExceptionAllowsInsecureHTTPLoads</key>
            <true/>
        </dict>
    </dict>
</dict>

我也在 plist 中试过这个：

<key>NSAppTransportSecurity</key>
<dict>
    <key>NSAllowsArbitraryLoads</key>
    <true/>
</dict>

这是我的代码：

-(void)startStream{


NSString *urlStr = @"https://stream.someserver.com";
NSURL *website = [NSURL URLWithString:urlStr];


CFReadStreamRef readStream;
CFWriteStreamRef writeStream;
CFStreamCreatePairWithSocketToHost(NULL, (CFStringRef)CFBridgingRetain([website host]), 443, &readStream, &writeStream);

NSInputStream *inputStream = (__bridge_transfer NSInputStream *)readStream;
NSOutputStream *outputStream = (__bridge_transfer NSOutputStream *)writeStream;


[inputStream setDelegate:self];
[outputStream setDelegate:self];

[inputStream scheduleInRunLoop:[NSRunLoop currentRunLoop] forMode:NSDefaultRunLoopMode];
[outputStream scheduleInRunLoop:[NSRunLoop currentRunLoop] forMode:NSDefaultRunLoopMode];


NSMutableDictionary *settings = [NSMutableDictionary dictionaryWithCapacity:1];
[settings setObject:(NSString *)NSStreamSocketSecurityLevelTLSv1 forKey:(NSString *)kCFStreamSSLLevel];
[settings setObject:[NSNumber numberWithBool:YES] forKey:(NSString *)kCFStreamSSLValidatesCertificateChain];
[settings setObject:@"stream.someserver.com" forKey:(NSString *)kCFStreamSSLPeerName];

CFWriteStreamSetProperty((CFWriteStreamRef)outputStream, kCFStreamPropertySSLSettings, (CFTypeRef)settings);
CFReadStreamSetProperty((CFReadStreamRef)inputStream, kCFStreamPropertySSLSettings, (CFTypeRef)settings);


[inputStream open];
[outputStream open];

}

在流打开后大约有 5 秒的延迟，然后 CFNetwork SSLHandshake failed (-9806) 错误被抛出。

注意：安全服务器不是我的，我不能在那里更改任何设置。它是一个经过测试和建立的服务器，有许多用户在流式传输

【问题讨论】：

你能把终端命令openssl s_client -connect stream.someserver.com:443的输出贴出来吗？
当我使用 openssl 签入终端时，SSL 握手成功
您是否尝试通过设置NSURLSessionDelegate 并从NSURLAuthenticationChallenge 实例获取SecTrustRef 传递给委托调用URLSession:(NSURLSession *)session didReceiveChallenge:(NSURLAuthenticationChallenge *)challenge [...] 来验证更高级别的服务器调用？即[challenge.protectionSpace serverTrust]。我也可以在 Swift 中给你一个 sn-p。

标签： ios objective-c ssl nsinputstream nsoutputstream

【解决方案1】：

我不确定 ssl 连接握手中哪个阶段失败，但您可以尝试将设置字典更改为如下内容：

 NSDictionary *settings = [[NSDictionary alloc] initWithObjectsAndKeys:
                          [NSNumber numberWithBool:YES], kCFStreamSSLAllowsExpiredCertificates,
                          [NSNumber numberWithBool:YES], kCFStreamSSLAllowsAnyRoot,
                          [NSNumber numberWithBool:YES], kCFStreamSSLAllowsExpiredRoots,
                          [NSNumber numberWithBool:NO], kCFStreamSSLValidatesCertificateChain,
                          //kCFNull,kCFStreamSSLPeerName,
                          kCFStreamSocketSecurityLevelSSLv3, kCFStreamSSLLevel,
                          [NSNumber numberWithBool:YES], kCFStreamPropertyShouldCloseNativeSocket,
                          nil];

然后，如果成功，则删除上面定义的每个“安全漏洞”。

【讨论】：

这不起作用。此外，不推荐使用 kCFStreamSSLAllowsExpiredCertificates、kCFStreamSSLAllowsAnyRoot 和 kCFStreamSSLAllowsExpiredRoots

【解决方案2】：

查看Apple documentation，您似乎使用了错误的键。

例如

NSThirdPartyExceptionMinimumTLSVersion 必须是 NSExceptionMinimumTLSVersion
NSTemporaryExceptionAllowsInsecureHTTPLoads 必须是 NSExceptionAllowsInsecureHTTPLoads
还有其他...

【讨论】：

从我读过的文档来看，较低级别的 CFNetwork API 不强制执行 ATS。
@DaveWeston 你不正确。您可以使用没有 ATS 限制的较低级别的 CFNetwork API，但您需要自己管理所有证书验证。 Zigglzworth 没有这样做，因为他传递给 ...StreamSetProperty 的所有设置，所以他需要 ATS 权限。
引用：“应用程序传输安全 (ATS) 由 NSURLSession 类强制执行...当使用 Apple 提供的较低级别的网络 API 或使用第三方网络库时，ATS 保护不可用。” - developer.apple.com/library/prerelease/content/documentation/…
谢谢，我确实尝试过，但没有解决问题

【解决方案3】：

在您的 SSL 设置中，将 kCFStreamSSLValidatesCertificateChain 设置为 @NO 以完全禁用服务器信任评估。

在您的委托实现中，当您第一次获得NSStreamEventHasSpaceAvailable 或NSStreamEventHasBytesAvailable 状态时，然后从流中检索kCFStreamPropertySSLPeerTrust 属性。

您应该取回SecTrustRef，您可以评估并获取以下信息：

SecTrustRef trust = (SecTrustRef)[stream propertyForKey:kCFStreamPropertySSLPeerTrust];
SecTrustResultType trustResult;
OSStatus status = SecTrustEvaluate(trust, &trustResult);
if (status != errSecSuccess) {
    NSLog(@"failed to evaluate");
} else {
    OSStatus trustResultCode = SecTrustGetTrustResult(trust, &trustResult);
}

最终的trustResultCode 应该会告诉您信任评估失败的具体原因。根据具体原因，您可以修改SecTrustRef 或创建一个全新的以获得成功的评估。

Apple 技术说明HTTPS Server Trust Evaluation 内容丰富。

【讨论】：