伺服器配置ssl證書支援蘋果ATS方法 – HTTPS SSL 教程

伺服器配置ssl證書支援蘋果ATS方法 – HTTPS SSL 教程

蘋果安全工程&架構部門主管Ivan Kristic表示ATS將成為App Sotre app的必要條件，這將大幅提高App在網路上的通訊安全，帶給使用者真正的安全保障。

其實在iOS 9中ATS是預設開啟的，但開發者仍然能關閉ATS， 但從2017年1月1日起，App開發者們也明確了必須強制開啟ATS的期限。

 

蘋果提出的ATS有哪些強制標準呢：

部署伺服器 ，啟用HTTPS加密連線。但需滿足以下 ATS預設的安全要求：

1、 ATS要求伺服器必須支援傳輸層安全(TLS)協議1.2以上版本;

2、通訊中的加密套件配置要求支援列出的正向保密;(以下Apple官方文件列表)

3、 數字證書必須使用SHA256或者更高階的簽名雜湊演算法簽名，並且保證金鑰是2048位及以上的RSA金鑰或者256位及以上的ECC演算法。

TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384

TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256

TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA384

TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256

TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA

 

DSA演算法要求使用以下加密套件：

TLS_ECDHE_ECDSA_WITH_AES_256_GCM_SHA384

TLS_ECDHE_ECDSA_WITH_AES_128_GCM_SHA256

TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA384

TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA

TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA256

TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA

 

ATS官網說明：https://developer.apple.com/libr … uid/TP40009251-SW57

 

如何支援ATS標準：

1、購買蘋果信任CA所頒發的證書;

2、部署https網站的web伺服器也有一定要求，如下：

Apache，Nginx要求關聯的openssl版本在1.0.1+，這樣網站才支援TLS1.2，同時您需要對證書相關引數做一定調整：

Apache：

SSLProtocol all -SSLv2 -SSLv3

SSLCipherSuite ECDH:AESGCM:HIGH:!RC4:!DH:!MD5:!aNULL:!eNULL;

Nginx:

ssl_protocols TLSv1 TLSv1.1 TLSv1.2;

ssl_ciphers ECDH:AESGCM:HIGH:!RC4:!DH:!MD5:!aNULL:!eNULL;

Tomcat要求環境 tomcat7+和JDK1.7+，配置參考如下：

     <Connector port="443" protocol="org.apache.coyote.http11.Http11Protocol"
               maxThreads="150" SSLEnabled="true" scheme="https" secure="true"
     keystoreFile="keystore/domain.jks"  keystorePass="證書密碼"
               clientAuth="false" sslProtocol="TLS"
               ciphers="TLS_RSA_WITH_AES_128_GCM_SHA256,
                        TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256,
                        TLS_RSA_WITH_AES_128_CBC_SHA,
                        TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA,
                        TLS_RSA_WITH_AES_128_CBC_SHA256,
                        TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256,
                        SSL_RSA_WITH_3DES_EDE_CBC_SHA,
                        TLS_ECDHE_RSA_WITH_3DES_EDE_CBC_SHA" />

IIS要求環境 windows server 2008 R2/IIS 7+

全球可信CA機構