阅读974 返回首页    go 英雄联盟

HTTPS业务场景解决方案__最佳实践_HTTPDNS-阿里云

1 背景说明

发送HTTPS请求首先要进行SSL/TLS握手，握手过程大致如下：

  1. 客户端发起握手请求，携带随机数、支持算法列表等参数。
  2. 服务端收到请求，选择合适的算法，下发公钥证书和随机数。
  3. 客户端对服务端证书进行校验，并发送随机数信息，该信息使用公钥加密。
  4. 服务端通过私钥获取随机数信息。
  5. 双方根据以上交互的信息生成session ticket，用作该连接后续数据传输的加密密钥。

上述过程中，和HTTPDNS有关的是第3步，客户端需要验证服务端下发的证书，验证过程有以下两个要点：

  1. 客户端用本地保存的根证书解开证书链，确认服务端下发的证书是由可信任的机构颁发的。
  2. 客户端需要检查证书的domain域和扩展域，看是否包含本次请求的host。

如果上述两点都校验通过，就证明当前的服务端是可信任的，否则就是不可信任，应当中断当前连接。

当客户端使用HTTPDNS解析域名时，请求URL中的host会被替换成HTTPDNS解析出来的IP，所以在证书验证的第2步，会出现domain不匹配的情况，导致SSL/TLS握手不成功。

2 解决方案

针对“domain不匹配”问题，可以采用如下方案解决：hook证书校验过程中第2步，将IP直接替换成原来的域名，再执行证书验证。

下面分别列出Android和iOS平台的示例代码。

2.1 Android示例

此示例针对HttpURLConnection接口。

  1. try {
  2.     String url = "https://140.205.160.59/?sprefer=sypc00";
  3.     HttpsURLConnection connection = (HttpsURLConnection) new URL(url).openConnection();
  5.     connection.setRequestProperty("Host", "m.taobao.com");
  6.     connection.setHostnameVerifier(new HostnameVerifier() {
  8. /*
  9.  * 关于这个接口的说明，官方有文档描述：
  10.  * This is an extended verification option that implementers can provide.
  11.  * It is to be used during a handshake if the URL's hostname does not match the
  12.  * peer's identification hostname.
  13.  *
  14.  * 使用HTTPDNS后URL里设置的hostname不是远程的主机名(如:m.taobao.com)，与证书颁发的域不匹配，
  15.  * Android HttpsURLConnection提供了回调接口让用户来处理这种定制化场景。
  16.  * 在确认HTTPDNS返回的源站IP与Session携带的IP信息一致后，您可以在回调方法中将待验证域名替换为原来的真实域名进行验证。
  17.  *
  18.  */
  20.     @Override
  21.     public boolean verify(String hostname, SSLSession session) {
  22.         return HttpsURLConnection.getDefaultHostnameVerifier().verify("m.taobao.com", session);
  23.         return false;
  24.     }
  25.     });
  27.     connection.connect();
  28. } catch (Exception e) {
  29.     e.printStackTrace();
  30. } finally {
  31. }

2.2 iOS示例

此示例针对NSURLSession/NSURLConnection接口。

  1. - (BOOL)evaluateServerTrust:(SecTrustRef)serverTrust
  2.                   forDomain:(NSString *)domain
  3. {
  4.     /*
  5.      * 创建证书校验策略
  6.      */
  7.     NSMutableArray *policies = [NSMutableArray array];
  8.     if (domain) {
  9.         [policies addObject:(__bridge_transfer id)SecPolicyCreateSSL(true, (__bridge CFStringRef)domain)];
  10.     } else {
  11.         [policies addObject:(__bridge_transfer id)SecPolicyCreateBasicX509()];
  12.     }
  14.     /*
  15.      * 绑定校验策略到服务端的证书上
  16.      */
  17.     SecTrustSetPolicies(serverTrust, (__bridge CFArrayRef)policies);
  20.     /*
  21.      * 评估当前serverTrust是否可信任，
  22.      * 官方建议在result = kSecTrustResultUnspecified 或 kSecTrustResultProceed
  23.      * 的情况下serverTrust可以被验证通过，https://developer.apple.com/library/ios/technotes/tn2232/_index.html
  24.      * 关于SecTrustResultType的详细信息请参考SecTrust.h
  25.      */
  26.     SecTrustResultType result;
  27.     SecTrustEvaluate(serverTrust, &result);
  29.     return (result == kSecTrustResultUnspecified || result == kSecTrustResultProceed);
  30. }
  32. /*
  33.  * NSURLConnection
  34.  */
  35. - (void)connection:(NSURLConnection *)connection
  36. willSendRequestForAuthenticationChallenge:(NSURLAuthenticationChallenge *)challenge
  37. {
  38.     if (!challenge) {
  39.         return;
  40.     }
  42.     /*
  43.      * URL里面的host在使用HTTPDNS的情况下被设置成了IP，此处从HTTP Header中获取真实域名
  44.      */
  45.     NSString* host = [[self.request allHTTPHeaderFields] objectForKey:@"host"];
  46.     if (!host) {
  47.         host = self.request.URL.host;
  48.     }
  50.     /*
  51.      * 判断challenge的身份验证方法是否是NSURLAuthenticationMethodServerTrust（HTTPS模式下会进行该身份验证流程），
  52.      * 在没有配置身份验证方法的情况下进行默认的网络请求流程。
  53.      */
  54.     if ([challenge.protectionSpace.authenticationMethod isEqualToString:NSURLAuthenticationMethodServerTrust])
  55.     {
  56.         if ([self evaluateServerTrust:challenge.protectionSpace.serverTrust forDomain:host]) {
  57.             /*
  58.              * 验证完以后，需要构造一个NSURLCredential发送给发起方
  59.              */
  60.             NSURLCredential *credential = [NSURLCredential credentialForTrust:challenge.protectionSpace.serverTrust];
  61.             [[challenge sender] useCredential:credential forAuthenticationChallenge:challenge];
  62.         } else {
  63.             /*
  64.              * 验证失败，进入默认处理流程
  65.              */
  66.             [[challenge sender] continueWithoutCredentialForAuthenticationChallenge:challenge];
  67.         }
  68.     } else {
  69.         /*
  70.          * 对于其他验证方法直接进行处理流程
  71.          */
  72.         [[challenge sender] continueWithoutCredentialForAuthenticationChallenge:challenge];
  73.     }
  74. }
  76. ////////////////////////////////////////////////////////////
  77. ////////////////////////////////////////////////////////////
  78. ////////////////////////////////////////////////////////////
  79. ////////////////////////////////////////////////////////////
  81. /*
  82.  * NSURLSession
  83.  */
  84. - (void)URLSession:(NSURLSession *)session task:(NSURLSessionTask *)task
  85. didReceiveChallenge:(NSURLAuthenticationChallenge *)challenge
  86.  completionHandler:(void (^)(NSURLSessionAuthChallengeDisposition disposition, NSURLCredential * __nullable credential))completionHandler
  87. {
  88.     if (!challenge) {
  89.         return;
  90.     }
  92.     NSURLSessionAuthChallengeDisposition disposition = NSURLSessionAuthChallengePerformDefaultHandling;
  93.     NSURLCredential *credential = nil;
  95.     /*
  96.      * 获取原始域名信息。
  97.      */
  98.     NSString* host = [[self.request allHTTPHeaderFields] objectForKey:@"host"];
  99.     if (!host) {
  100.         host = self.request.URL.host;
  101.     }
  103.     if ([challenge.protectionSpace.authenticationMethod isEqualToString:NSURLAuthenticationMethodServerTrust]) {
  104.         if ([self evaluateServerTrust:challenge.protectionSpace.serverTrust forDomain:host]) {
  105.             disposition = NSURLSessionAuthChallengeUseCredential;
  106.             credential = [NSURLCredential credentialForTrust:challenge.protectionSpace.serverTrust];
  107.         } else {
  108.             disposition = NSURLSessionAuthChallengePerformDefaultHandling;
  109.         }
  110.     } else {
  111.         disposition = NSURLSessionAuthChallengePerformDefaultHandling;
  112.     }
  113.     // 对于其他的challenges直接使用默认的验证方案
  114.     completionHandler(disposition,credential);
  115. }

最后更新：2016-11-23 17:16:07

  上一篇：go iOS SDK手册__SDK手册_HTTPDNS-阿里云
  下一篇：go 如何利用HTTPDNS降低DNS解析开销__最佳实践_HTTPDNS-阿里云