应用开发商尚未准备好应对苹果的新ATS规定

一项新研究表明，在苹果预计于iOS系统中实施更严格的App通信安全要求之前，企业级开发人员尚未做好应对这些变更的准备。

该研究由安全公司Appthority对在企业环境中使用的iOS设备上最常见的200款应用进行了分析。研究人员考察了这些应用符合苹果应用传输安全（ATS）要求的程度。

研究人员发现，在被分析的200款应用中，有97%（即193款）使用了例外设置和其他配置，从而削弱了默认的ATS配置。

ATS最初在iOS 9中引入并默认启用。该标准要求所有应用必须使用加密的HTTPS（基于SSL/TLS的HTTP）连接与互联网服务器进行通信，并确保仅使用没有已知弱点的行业标准加密协议和密文。例如，由于存在已知漏洞，不允许使用SSL版本3和RC4流密码。

在ATS出现之前，应用开发者通过第三方框架实现HTTPS，但由于正确配置SSL/TLS较为困难，因此实施错误很常见。这削弱了该协议本应提供的针对流量窃听和其他中间人攻击的保护。

目前，iOS允许应用完全选择退出ATS，或仅在某些特定连接中使用ATS，但苹果希望改变这一状况。在今年6月的全球开发者大会（WWDC）上，该公司宣布将要求所有在App Store发布的应用在年底前开启ATS。

这一要求不会在操作系统层面强制执行，而是通过App Store的审核流程来实现。仍然可以使用部分ATS例外，但如果开发者希望其应用获得批准，则必须为使用这些例外提供“合理理由”。

Appthority的研究人员在报告中表示：“在我们分析的Top 200 iOS应用中，有166款应用（占83%）通过在Info.plist文件中将‘NSAllowsArbitraryLoads’属性设置为‘true’来绕过至少部分ATS要求。”

“然而，并非所有这些应用都对其所有网络连接绕过ATS要求。例如，一家公司仍可以支持与其域名相关的网络连接的ATS要求，同时允许ATS绕过其他所有连接。”

未对其所有连接使用HTTPS的应用包括Facebook、Twitter、LinkedIn、Facebook Messenger、Skype、Viber、WhatsApp、Fox News、CNN、BBC、Netflix、ESPN、Hulu、Pandora、Amazon Cloud Player、Word、Excel、PowerPoint和OneNote，还包括手电筒、二维码阅读器等实用工具类应用以及游戏。