Importieren eines SSL-Zertifikats unter dem iPhone SDK

Question

Meine App verbindet sich mit der Schwab OFX server mit NSURLConnection. Leider verwendet der Server ein sehr kurzes Zwischenzertifikat, das auf dem Mac-Desktop, aber noch nicht auf dem iPhone, vertrauenswürdig ist. (Probieren Sie die URL aus - Sie erhalten einen Zertifikatfehler auf dem iPhone.)

Es gibt keine einfache Möglichkeit, NSURLConnection zu sagen, um ein ungültiges Zertifikat zu ignorieren, das ich kenne. Daher versuche ich, das Cert manuell in den Schlüsselbund zu importieren und sein Vertrauensniveau einzustellen, aber ich habe einen Block getroffen.

Ich rufe SecCertificateCreateWithData erfolgreich, um das Zertifikat aus einer .cer Datei zu importieren. Auf dem Desktop würde ich dann SecTrustSettingsSetTrustSettings anrufen, aber es existiert nicht im iPhone SDK.

Problemumgehung?

Answer 1

Apple technischen Support antwortete mir prompt mit einer perfekten Antwort.

Erstens ist es falsch zu sagen, dass Schwab "ein sehr neues Zwischenzertifikat verwendet, das auf dem Mac-Desktop vertraut ist, aber noch nicht das iPhone". Zwischenzertifikate befinden sich niemals im integrierten Stammzertifikatsspeicher. Das Problem ist, dass die meisten SSL-Server Bundle alle Zwischenzertifikate für die Überprüfung benötigt, aber Schwab verwendet einen alternativen SSL-Prozess, der erwartet, dass Sie das Zwischenzertifikat von einer URL abrufen. Der Mac-Desktop unterstützt das Abrufen von Zwischenzertifikaten, nicht jedoch das aktuelle iPhone OS.

Hier ist der Kern des eigentlichen Code:

OSStatus   err; 
NSString *   path; 
NSData *   data; 
SecCertificateRef cert; 

path = [[NSBundle mainBundle] pathForResource:@"OFX-G3" ofType:@"cer"]; 
assert(path != nil); 

data = [NSData dataWithContentsOfFile:path]; 
assert(data != nil); 

cert = SecCertificateCreateWithData(NULL, (CFDataRef) data); 
assert(cert != NULL); 

err = SecItemAdd(
    (CFDictionaryRef) [NSDictionary dictionaryWithObjectsAndKeys: 
     (id) kSecClassCertificate, kSecClass, 
     cert,      kSecValueRef, 
     nil 
    ], 
    NULL 
); 
assert(err == noErr); 

CFRelease(cert); 

Dies setzt voraus, dass OFX-G3.cer das Zwischen SSL-Zertifikat und wird in den Ressourcen-Ordnern.

Answer 2

Versuchen Sie dies programmgesteuert durchzuführen, oder ist es in Ordnung, dies über die normale Benutzeroberfläche zu tun?

Mit dem iPhone-Konfigurationsprogramm von Apple können Sie dem Telefon Zertifikate hinzufügen. Sie können das Zertifikat auch per E-Mail an einen Benutzer senden, der E-Mails auf dem Telefon lesen kann. Anschließend öffnen Sie das Zertifikat auf dem Telefon und Sie werden gefragt, ob Sie das Zertifikat installieren möchten.

Es tut mir leid, ich kann dir jetzt keine näheren Anweisungen geben, aber ich bin weg von meinem iPhone. Ich werde später zurückkommen, nachdem ich auf das iPhone gehen kann, um zu sehen, ob Sie Erfolg haben.

Answer 3

Sie können ssl-Einstellungen mit CoreFoundation CFStream Objekt umgehen. Sie werden etwas tun müssen, wie ein Strom erzeugen, der auf dem OFX-Server an den entsprechenden Anschluss verbindet, dann CF(Read|Write)StreamSetProperty ein CFDictionary zur Verfügung zu stellen verwenden mit Tasten wie kCFStreamSSLLevel (die man ein NSDictionary werfen kann), kCFStreamSSLAllowsAnyRoot, kCFStreamSSLValidatesCertificateChain usw.

Answer 4

Sie können das Zertifikat direkt in die TrustStore.sqlite3-Datei des Simulators installieren. Charles Proxy verwendet dies, um sein Root-Zertifikat in den Simulator zu installieren.