閱讀974 返回首頁    go 阿裏雲

HTTPS業務場景解決方案__最佳實踐_HTTPDNS-阿裏雲

1 背景說明

發送HTTPS請求首先要進行SSL/TLS握手，握手過程大致如下：

  1. 客戶端發起握手請求，攜帶隨機數、支持算法列表等參數。
  2. 服務端收到請求，選擇合適的算法，下發公鑰證書和隨機數。
  3. 客戶端對服務端證書進行校驗，並發送隨機數信息，該信息使用公鑰加密。
  4. 服務端通過私鑰獲取隨機數信息。
  5. 雙方根據以上交互的信息生成session ticket，用作該連接後續數據傳輸的加密密鑰。

上述過程中，和HTTPDNS有關的是第3步，客戶端需要驗證服務端下發的證書，驗證過程有以下兩個要點：

  1. 客戶端用本地保存的根證書解開證書鏈，確認服務端下發的證書是由可信任的機構頒發的。
  2. 客戶端需要檢查證書的domain域和擴展域，看是否包含本次請求的host。

如果上述兩點都校驗通過，就證明當前的服務端是可信任的，否則就是不可信任，應當中斷當前連接。

當客戶端使用HTTPDNS解析域名時，請求URL中的host會被替換成HTTPDNS解析出來的IP，所以在證書驗證的第2步，會出現domain不匹配的情況，導致SSL/TLS握手不成功。

2 解決方案

針對“domain不匹配”問題，可以采用如下方案解決：hook證書校驗過程中第2步，將IP直接替換成原來的域名，再執行證書驗證。

下麵分別列出Android和iOS平台的示例代碼。

2.1 Android示例

此示例針對HttpURLConnection接口。

  1. try {
  2.     String url = "https://140.205.160.59/?sprefer=sypc00";
  3.     HttpsURLConnection connection = (HttpsURLConnection) new URL(url).openConnection();
  5.     connection.setRequestProperty("Host", "m.taobao.com");
  6.     connection.setHostnameVerifier(new HostnameVerifier() {
  8. /*
  9.  * 關於這個接口的說明，官方有文檔描述：
  10.  * This is an extended verification option that implementers can provide.
  11.  * It is to be used during a handshake if the URL's hostname does not match the
  12.  * peer's identification hostname.
  13.  *
  14.  * 使用HTTPDNS後URL裏設置的hostname不是遠程的主機名(如:m.taobao.com)，與證書頒發的域不匹配，
  15.  * Android HttpsURLConnection提供了回調接口讓用戶來處理這種定製化場景。
  16.  * 在確認HTTPDNS返回的源站IP與Session攜帶的IP信息一致後，您可以在回調方法中將待驗證域名替換為原來的真實域名進行驗證。
  17.  *
  18.  */
  20.     @Override
  21.     public boolean verify(String hostname, SSLSession session) {
  22.         return HttpsURLConnection.getDefaultHostnameVerifier().verify("m.taobao.com", session);
  23.         return false;
  24.     }
  25.     });
  27.     connection.connect();
  28. } catch (Exception e) {
  29.     e.printStackTrace();
  30. } finally {
  31. }

2.2 iOS示例

此示例針對NSURLSession/NSURLConnection接口。

  1. - (BOOL)evaluateServerTrust:(SecTrustRef)serverTrust
  2.                   forDomain:(NSString *)domain
  3. {
  4.     /*
  5.      * 創建證書校驗策略
  6.      */
  7.     NSMutableArray *policies = [NSMutableArray array];
  8.     if (domain) {
  9.         [policies addObject:(__bridge_transfer id)SecPolicyCreateSSL(true, (__bridge CFStringRef)domain)];
  10.     } else {
  11.         [policies addObject:(__bridge_transfer id)SecPolicyCreateBasicX509()];
  12.     }
  14.     /*
  15.      * 綁定校驗策略到服務端的證書上
  16.      */
  17.     SecTrustSetPolicies(serverTrust, (__bridge CFArrayRef)policies);
  20.     /*
  21.      * 評估當前serverTrust是否可信任，
  22.      * 官方建議在result = kSecTrustResultUnspecified 或 kSecTrustResultProceed
  23.      * 的情況下serverTrust可以被驗證通過，https://developer.apple.com/library/ios/technotes/tn2232/_index.html
  24.      * 關於SecTrustResultType的詳細信息請參考SecTrust.h
  25.      */
  26.     SecTrustResultType result;
  27.     SecTrustEvaluate(serverTrust, &result);
  29.     return (result == kSecTrustResultUnspecified || result == kSecTrustResultProceed);
  30. }
  32. /*
  33.  * NSURLConnection
  34.  */
  35. - (void)connection:(NSURLConnection *)connection
  36. willSendRequestForAuthenticationChallenge:(NSURLAuthenticationChallenge *)challenge
  37. {
  38.     if (!challenge) {
  39.         return;
  40.     }
  42.     /*
  43.      * URL裏麵的host在使用HTTPDNS的情況下被設置成了IP，此處從HTTP Header中獲取真實域名
  44.      */
  45.     NSString* host = [[self.request allHTTPHeaderFields] objectForKey:@"host"];
  46.     if (!host) {
  47.         host = self.request.URL.host;
  48.     }
  50.     /*
  51.      * 判斷challenge的身份驗證方法是否是NSURLAuthenticationMethodServerTrust（HTTPS模式下會進行該身份驗證流程），
  52.      * 在沒有配置身份驗證方法的情況下進行默認的網絡請求流程。
  53.      */
  54.     if ([challenge.protectionSpace.authenticationMethod isEqualToString:NSURLAuthenticationMethodServerTrust])
  55.     {
  56.         if ([self evaluateServerTrust:challenge.protectionSpace.serverTrust forDomain:host]) {
  57.             /*
  58.              * 驗證完以後，需要構造一個NSURLCredential發送給發起方
  59.              */
  60.             NSURLCredential *credential = [NSURLCredential credentialForTrust:challenge.protectionSpace.serverTrust];
  61.             [[challenge sender] useCredential:credential forAuthenticationChallenge:challenge];
  62.         } else {
  63.             /*
  64.              * 驗證失敗，進入默認處理流程
  65.              */
  66.             [[challenge sender] continueWithoutCredentialForAuthenticationChallenge:challenge];
  67.         }
  68.     } else {
  69.         /*
  70.          * 對於其他驗證方法直接進行處理流程
  71.          */
  72.         [[challenge sender] continueWithoutCredentialForAuthenticationChallenge:challenge];
  73.     }
  74. }
  76. ////////////////////////////////////////////////////////////
  77. ////////////////////////////////////////////////////////////
  78. ////////////////////////////////////////////////////////////
  79. ////////////////////////////////////////////////////////////
  81. /*
  82.  * NSURLSession
  83.  */
  84. - (void)URLSession:(NSURLSession *)session task:(NSURLSessionTask *)task
  85. didReceiveChallenge:(NSURLAuthenticationChallenge *)challenge
  86.  completionHandler:(void (^)(NSURLSessionAuthChallengeDisposition disposition, NSURLCredential * __nullable credential))completionHandler
  87. {
  88.     if (!challenge) {
  89.         return;
  90.     }
  92.     NSURLSessionAuthChallengeDisposition disposition = NSURLSessionAuthChallengePerformDefaultHandling;
  93.     NSURLCredential *credential = nil;
  95.     /*
  96.      * 獲取原始域名信息。
  97.      */
  98.     NSString* host = [[self.request allHTTPHeaderFields] objectForKey:@"host"];
  99.     if (!host) {
  100.         host = self.request.URL.host;
  101.     }
  103.     if ([challenge.protectionSpace.authenticationMethod isEqualToString:NSURLAuthenticationMethodServerTrust]) {
  104.         if ([self evaluateServerTrust:challenge.protectionSpace.serverTrust forDomain:host]) {
  105.             disposition = NSURLSessionAuthChallengeUseCredential;
  106.             credential = [NSURLCredential credentialForTrust:challenge.protectionSpace.serverTrust];
  107.         } else {
  108.             disposition = NSURLSessionAuthChallengePerformDefaultHandling;
  109.         }
  110.     } else {
  111.         disposition = NSURLSessionAuthChallengePerformDefaultHandling;
  112.     }
  113.     // 對於其他的challenges直接使用默認的驗證方案
  114.     completionHandler(disposition,credential);
  115. }

最後更新：2016-11-23 17:16:07

  上一篇：go iOS SDK手冊__SDK手冊_HTTPDNS-阿裏雲
  下一篇：go 如何利用HTTPDNS降低DNS解析開銷__最佳實踐_HTTPDNS-阿裏雲