蘋果在2017年的開發(fā)者大會中已經明確說到AppStore的所有APP都必須啟用ATS安全功能，啟用ATS以后乙嘀，明文HTTP資源加載將被屏蔽咳燕，APP需要通過HTTPS連接網(wǎng)絡服務。
為何要使用HTTPS呢?
1.無法證明報文的完整性乒躺，所以有可能已遭篡改--可能會被劫持插入廣告
2.通信使用明文招盲，敏感信息被截取(銀行卡、各種密碼嘉冒、手機號等)
3.不驗證通信方的身份曹货，因此可能遭遇跟偽裝的服務器通信
注釋：因為HTTP通過明文傳輸，沒有經過任何安全處理讳推，且很容易受到中間人的攻擊顶籽，比如：通過重定向把客戶端的請你求轉到一個另外的服務器；查看客戶端的敏感信息银觅；或者偷偷修改客戶端的請求/相應數(shù)據(jù)包礼饱。所以才迫切的想要引人HTTPS。
為何使用HTTPS以后能夠保證傳輸安全呢究驴？
HTTPS被稱為Hyperttext Transfer Protocol Secure(安全的超文本傳輸協(xié)議)或者說HTTP over Secure Socket Layer(安全套接字層HTTP協(xié)議)镊绪，實際上HTTPS協(xié)議是在HTTP協(xié)議的基礎上添加了SSL(Secure Socket Layer)/TLS(Transport Layer Security)加密協(xié)議
握手流程如下：
1.客戶端-->服務器 發(fā)起請求
客戶端發(fā)起請求到服務器。主要參數(shù)是支持的協(xié)議版本洒忧，加密方法以及一個隨機數(shù)n1;
2.服務器-->客戶端 發(fā)送證書蝴韭，客戶端驗證證書
服務器收到請求并確認加密方法，然后返回公鑰熙侍，以及一個由服務器生成的隨機數(shù)n2;在這個階段iOS中的CA認證的認證的證書會自動驗證榄鉴，而私有的證書則需要手動驗證放行，否則拒絕鏈接蛉抓；
3.客戶端-->服務器? 發(fā)送消息
客戶端驗證證書成功后會生成第三個隨機數(shù)n3庆尘，并用第2步服務器返回的證書對該隨機數(shù)加密，并發(fā)送給服務器巷送，同時也會發(fā)送一些其他信息驶忌，比如：編碼信息和客戶端握手結束的通知。
4.服務器-->客戶端 發(fā)送信息
服務器用私鑰解密后惩系，得到客戶端傳來的第三個隨機數(shù)n3,兩端使用這三個隨機數(shù)n1位岔、n2、n3來生成Session Key堡牡。服務器想客戶端發(fā)送編碼信息和服務器握手結束通知抒抬。
5.完整性驗證
完整性驗證以后，后面的信息傳輸就靠這個Session key進行對稱加密了晤柄。
SSL在握手的過程中主要交換了以下三個信息：
加密通信協(xié)議：就是雙方商量使用哪一種加密方式擦剑，假如兩者支持的加密方式不匹配，則無法進行通信芥颈。
數(shù)字證書：該證書包含了公鑰等信息惠勒，一般是由服務器發(fā)給客戶端，接收方通過驗證這個證書是不是由信賴的CA簽發(fā)爬坑，或者與本地的證書相對比纠屋，來判斷證書是否可信；假如需要雙向驗證盾计，則服務器和客戶端都需要發(fā)送數(shù)字證書給對方驗證售担。
三個隨機數(shù)n1,n2,n3:這三個隨機數(shù)構成了后續(xù)通信過程中用來對數(shù)據(jù)進行對稱加密解密的對話密鑰。
中間人攻擊
中間人攻擊是通過與客戶端署辉、服務器分別建立連接族铆，來獲得了明文的信息攻擊方式。在這個過程中哭尝，客戶端與服務器的通信被第三方解密哥攘、查看、修改材鹦。
為什么有些APP即便使用了HTTPS逝淹，還是會被中間人攻擊呢？
基本都是因為沒做客戶端驗證桶唐，特別是在使用未經CA認證的證書時创橄，更容易中招。關于黑客是如何在協(xié)議握手初期劫持服務莽红，從而實現(xiàn)中間人攻擊妥畏，可以做如下推演:
1.黑客劫持到服務器公鑰，并冒充客戶端與服務器連接安吁；
2.黑客自己生成公鑰醉蚁，冒充服務器公鑰返回給真正的客戶端；
如果客戶端未做驗證的話鬼店，就不會發(fā)現(xiàn)證書被替換网棍，于是客戶端會用黑客的公鑰發(fā)送數(shù)據(jù)，黑客劫持數(shù)據(jù)后妇智，用自己的私鑰解密滥玷，查看氏身。
由此可見，需要做好客戶端驗證惑畴。比如吧證書打包進APP蛋欣，然后與服務器返回的證書對比驗證，驗證成功以后才允許連接如贷。當然是用這種方式會導致一些問題陷虎，比如：當證書過期時APP連不上服務器，這時需要我們將新證書提前打包進APP杠袱，或者通過Socket通道從服務器傳送證書進APP中尚猿，來實現(xiàn)無縫對接。
