Какую политику использует NSURLSession для своего NSURLAuthenticationChallenge serverTrust?
В заголовке SecPolicy документация SecPolicyCreateRevocation гласит, что
"Примечание: обычно нет необходимости создавать политику отзыва самостоятельно, если только вы не хотите переопределить поведение системы по умолчанию (например, для принудительного использования определенного метода или полного отключения проверки отзыва)."
Техническая записка TN2232 в разделе " Обеспечение более строгой оценки доверия к серверу" гласит, что
SecPolicyCreateRevocation позволяет создать политику безопасности, которая специально проверяет отзыв сертификата (например, через OCSP или CRL).
Этот поток, Re: Оценка отзыва сертификатов (CRL/OCSP), предполагает, что iOS поддерживает CRL / OCSP, однако " сделано в очень ограниченных обстоятельствах ".
Из функциональной спецификации модуля политики доверия Apple
Акцент мой.
2.4.2 Политика отзыва
Политики отзыва - это политики, реализуемые TP, которые (необязательно) проверяют, были ли сертификаты в данной цепочке сертификатов отозваны их эмитентом. В настоящее время существует две политики отзыва: список отзыва сертификатов (CRL) и сетевой протокол статуса сертификата (OCSP). Обе эти политики могут включать в себя выборку товаров из Интернета во время проверки сертификата; оба включают кэширование указанных элементов как в TP (в памяти, для каждого процесса), так и в других местах системы (на диске, в кеше, совместно используемом всеми пользователями);
.-
С этим в мыслях,
- Какую политику отзыва использует NSURLSession для доверия сервера? (то есть ссылаясь на константы политики отзыва в заголовке SecPolicy)
- При каких обстоятельствах проверяется, был ли сертификат отозван эмитентом?
- Как долго кешируется ответ CRL / OCSP и кто или что контролирует этот кеш?
- Следует ли использовать URLSession:didReceiveChallenge:completeHandler: to для создания политики отзыва с использованием SecPolicyCreateRevocation и установки для нее доверия сервера к NSURLAuthenticationChallenge с использованием SecTrustSetPolicies?
- Проверяются ли сертификаты расширенной проверки (EV) и простой проверки домена с использованием CRL/OCSP?
Не могли бы вы уточнить, к какой версии iOS (8, 9, 10) применимы ответы?
Спасибо