日前，一则关于的iOS网络通信库AFNetworking曝安全漏洞影响2.5万iOS应用的消息铺天盖地而来，有1000多种应用程序被指称，由于SSL存在Bug，导致这些应用程序容易遭到攻击。对此，由Mattt Thompson一手创立的Alamofire Software Foundation在GitHub上对于AFNetworking曝SSL漏洞引发的众多担忧进行了回应，以下为全文：

背景信息

就此事，对于不熟悉AFNetworking的人，这里有一些与其相关的细节需要了解：

• AFNetworking是一个第三方开源库，置于苹果内置框架之上，允许开发者向iOS和OS X应用添加网络功能。

• AFSecurityPolicy是AFNetworking的组件之一，可根据应用程序设置的规则处理验证挑战（authentication challenge），包括通过HTTPS连接时，对服务端返回的X.509证书的评估。

• 证书锁定（certificate pinning）是一项信息安全技术，它在标准TLS评估的基础上做了改进，通过服务器显式地发送证书来匹配包含在客户端的凭证（credentials）。AFNetworking从版本1.2.0开始一直提供证书锁定技术。

• 中间人攻击（Man-in-the-Middle Attack, MitM）是在客户端和服务器之间插入攻击者本身，使两边都认为自己和对方在直接通信。

• 这样的一种攻击方式在客户端和服务器之间会涉及某个不可信的Wi-Fi接入点。没有对响应进行恰当地验证，攻击者就可以拦截通讯信息，用户凭证或其他敏感信息因而会遭到泄露。

• AFNetworking官方文档强烈建议应用程序要通过HTTPS进行通信，并且使用证书或公钥锁定技术来弱化MitM这种攻击行为。工程中所包含的示例代码遵循了这些建议，在应用程序中展示了证书锁定的使用方式。

事件回放

• 2015年2月12日，AFNetworking 2.5.1发布。这一版本包含了一个补丁，修改了证书的安全策略验证方式，将SSLPinningMode修改为AFSSLPinningModeNone。验证挑战过程中，服务器的证书默认是不会被验证的，除非客户端存在与众不同的配置行为，比如使用SSL pinning这样的证书绑定技术。

• 2015年3月12日，我们从这个GitHub Issue开始意识到上述的修改行为所造成的影响。

• 2015年3月26日，来自Minded Security Research的Simone Bovi和Mauro Gentile发表了一篇博文，详细说明了AFNetworking 2.5.1潜在的MitM方面的漏洞。

• 同样在2015年3月26日，AFNetworking 2.5.2发布。这个版本恢复了先前的证书安全策略评估方式。如果安全策略将validatesDomainName设置为YES，那么SSLPinningMode将会被修改为AFSSLPinningModeNone。

• 2015年4月20日，AFNetworking 2.5.3发布了，该版本做了额外的修改。对所有的安全策略默认设置validatesDomainName为YES。

• 2015年4月21日，GitHub上新开了一个Issue，要求完善AFNetworking的文档和与安全相关的功能特性。我们正就此积极努力地对参考材料做全面彻底的修改。

• 还是在2015年4月20日，来自SourceDNA的Nate Lawson发表了一篇博文，宣称某个工具可以识别苹果商店中使用了AFNetworking2.5.1的应用程序。包括来自Ars Technica的Dan Goodin在内的许多记者，在其公布的文章中都引用了该博文并提及了博文的作者。这些公开发布的内容都没有就AFNetworking维护人员的解决方案进行整理而置评。

• 2015年4月24日，SourceDNA在其后续发布的博文中声称，存在更多带有安全漏洞的应用程序，来自Ars Technica的Dan Goodin随后也发表了一篇带有相同效果的文章。需要强调的是，没有任何一篇公开发表的文章对AFNetworking维护人员的解决方案进行整理而置评。

使用AFNetworking的开发者们可以做什么？

• 如果应用程序通过HTTPS通信，却没有启用SSL pinning技术的话，应用程序就可能容易受到所报道的MitM攻击。

AFSecurityPolicy的官方文档中的内容：

将固定的SSL证书（ pinned SSL）添加到应用程序中，可以帮助应用避免中间人攻击以及存在的其他漏洞。大力鼓励应用程序在处理用户数据或财务信息的时候，所有通信途径都通过HTTPS协议，配置并启用SSL pinning技术。

无论在什么时候，遵循这些建议的应用程序都不应该存在上述安全漏洞。

• 如果应用使用HTTPS进行通信，并且启用了SSL pinning技术，就不容易遭到所说的MitM攻击。

很大一部分应用程序使用AFNetworking是通过推荐的步骤启用了SSL证书或public key pinning机制的，这些应用程序不太不容遭到上面说的MitM攻击。

• 如果使用的是先前的版本AFNetworking，我们强烈推荐您升级到版本2.5.3。

AFNetworking 2.5.1和2.5.2包含的默认配置不适合产品级应用程序——特别是如果不进行额外的配置，就不会提供必要的TLS评估。

AFNetworking 2.5.3默认配置更加安全，即使不使用SSL pinning也会进行域名验证。

• 如果使用NSURLConnection或NSURLSession代替AFNetworking的话，你仍然需要检查验证挑战的实现方式。

苹果内置的NSURLConnection和NSURLSession，还有Security框架所提供的API，都具有对凭证验证的安全实现方式。但是，像任何API一样，某个应用程序的安全性取决于这些API的使用方法。

是否使用AFNetworking本身并不能保证你的应用程序能够灵活应对MitM那样的攻击。是否能够灵活应对攻击完全取决于应用程序使用可用API的方法。在产品环境下，测试应用程序的健壮性和网络安全性终是开发人员的职责。

对负责任的安全研究和新闻工作的看法

对于终端用户来说，安全研究人员在软件安全方面起着核心作用。研究人员与软件开发人员共同努力，通过遵循既定的负责任的漏洞披露（responsible disclosure），可以快速修复漏洞。同时，将当前用户的风险降到低。

然而，我们对一些研究人员的做法和一些对AFNetworking的披露感到失望。作为人尽皆知的话题，信息安全从未如此重要。安全研究人员和记者拥有独特的机会来让读者了解这些事实。但不幸的是，这样的披露方式常常通过制造恐惧来增加点击量，而不是客观详实的报道。

尚未有确切的方法可以表明多少应用程序受此问题的影响；这些对安全问题严重程度的揣测摧毁了对问题准确和适度的回应。同样地，根据揣测提出的权利主张对企业和其客户也帮助甚少。

事实上，编写安全的软件一直以来都是一项巨大的挑战。这需要多学科的工程师们一起合作完成。这是一个极其重要的任务，好由理性且富有责任心的人参与。

作为软件维护人员，我们有很多事情可以做得更好，并积极采取措施来完善自身的组织和流程。从今天起，我们期待与信息安全社区的成员紧密合作，负责任地寻找并解决任何安全漏洞。

对负责任的开源项目维护工作的看法

我们真诚地向使用AFNetworking的开发者和iOS整个开发者社区表示歉意。

作为开源项目的维护者，我们有责任提供与高标准相契合的软件，该软件将作为应用程序不可或缺的一部分。我们却没有对应该尽快更新的版本做出回应。我们未能向您有效传达至关重要的安全信息。这所有的一切，我们表示真诚的歉意并负全责。

在未来的几周内，我们将推出重组后的AFNetworking及其相关项目，以确保稳定的通信顺利进行。从用户的角度看，这意味着更加频繁地发布版本，更高的透明度，处理问题与合并请求过程中更多的反馈，我们为此而感到兴奋。