HTTPDNS:Menggunakan HTTPDNS dalam skenario native iOS

3.1 Skenario HTTP biasa

Untuk permintaan HTTP biasa, tidak ada jabat tangan TLS/SSL atau verifikasi sertifikat dalam tautan jaringan. Oleh karena itu, operasi inti untuk mengintegrasikan HTTPDNS hanya dilakukan pada lapisan HTTP:

1. Ganti Host dalam URL permintaan dengan alamat IP yang diselesaikan oleh HTTPDNS.

   • Sebagai contoh, jika URL permintaan asli adalah http://example.com/api dan HTTPDNS menyelesaikannya ke alamat IP 1.2.3.4, Anda dapat mengubah URL menjadi http://1.2.3.4/api.

2. Atur secara eksplisit Host dalam header HTTP ke nama domain asli.

   • Jika Anda menggunakan NSMutableURLRequest, Anda dapat menambahkan request.allHTTPHeaderFields[@"Host"] = @"example.com"; ke header permintaan. Hal ini memastikan bahwa server dapat mengidentifikasi nama domain yang benar pada lapisan aplikasi.

3.2 Skenario HTTPS (non-SNI)

Untuk situs HTTPS yang tidak menggunakan mekanisme SNI atau hanya mencakup beberapa nama domain tetap (sertifikat hanya mencakup domain-domain tersebut), Anda dapat mengintegrasikan HTTPDNS dan melakukan verifikasi sertifikat pada lapisan NSURLSession sebagai berikut:

1. Ganti Host dalam URL permintaan dengan alamat IP yang diselesaikan oleh HTTPDNS.

   • Sebagai contoh, jika URL permintaan asli adalah https://example.com/api dan HTTPDNS menyelesaikannya ke alamat IP 1.2.3.4, Anda dapat mengubah URL menjadi https://1.2.3.4/api.

2. Atur secara eksplisit Host dalam header HTTP ke nama domain asli.

   • Demikian pula, Anda dapat mengatur request.allHTTPHeaderFields[@"Host"] = @"example.com"; dalam NSMutableURLRequest.

3. Hook proses verifikasi sertifikat

   • Karena ini adalah permintaan HTTPS, verifikasi sertifikat diperlukan selama jabat tangan TLS. Pada titik ini, jika Anda langsung menggunakan alamat IP sebagai Host untuk pemeriksaan, akan terjadi isu ketidaksesuaian nama domain dan sertifikat.

   • Dalam metode callback NSURLSessionDelegate URLSession:didReceiveChallenge:completionHandler:, saat Anda memverifikasi serverTrust yang diperoleh dari sistem, Anda dapat mengganti alamat IP dengan nama domain asli (example.com). Hal ini memungkinkan verifikasi sertifikat berhasil.

   • Contoh kode:

     - (void)URLSession:(NSURLSession *)session
                   task:(NSURLSessionTask *)task
     didReceiveChallenge:(NSURLAuthenticationChallenge *)challenge
       completionHandler:(void (^)(NSURLSessionAuthChallengeDisposition disposition,
                                   NSURLCredential *credential))completionHandler {
         if ([challenge.protectionSpace.authenticationMethod isEqualToString:NSURLAuthenticationMethodServerTrust]) {
             NSString *originalHost = [self getOriginalHostFromRequest:task.originalRequest];
             SecTrustRef serverTrust = challenge.protectionSpace.serverTrust;
             if ([self evaluateServerTrust:serverTrust forDomain:originalHost]) {
                 // Sertifikat telah diverifikasi.
                 NSURLCredential *credential = [NSURLCredential credentialForTrust:serverTrust];
                 completionHandler(NSURLSessionAuthChallengeUseCredential, credential);
             } else {
                 // Verifikasi sertifikat gagal. Gunakan handler default.
                 completionHandler(NSURLSessionAuthChallengePerformDefaultHandling, nil);
             }
         } else {
             completionHandler(NSURLSessionAuthChallengePerformDefaultHandling, nil);
         }
     }
     
     - (BOOL)evaluateServerTrust:(SecTrustRef)serverTrust forDomain:(NSString *)domain {
         // Buat kebijakan verifikasi sertifikat.
         NSMutableArray *policies = [NSMutableArray array];
         if (domain) {
             [policies addObject:(__bridge_transfer id) SecPolicyCreateSSL(true, (__bridge CFStringRef) domain)];
         } else {
             [policies addObject:(__bridge_transfer id) SecPolicyCreateBasicX509()];
         }
     
         // Ikat kebijakan verifikasi ke sertifikat server.
         SecTrustSetPolicies(serverTrust, (__bridge CFArrayRef) policies);
         // Evaluasi apakah serverTrust saat ini dipercaya. Apple merekomendasikan bahwa serverTrust dapat diverifikasi jika hasilnya kSecTrustResultUnspecified atau kSecTrustResultProceed. Untuk informasi lebih lanjut, lihat https://developer.apple.com/library/ios/technotes/tn2232/_index.html.
         // Untuk informasi lebih lanjut tentang SecTrustResultType, lihat SecTrust.h.
         SecTrustResultType result;
         SecTrustEvaluate(serverTrust, &result);
         return (result == kSecTrustResultUnspecified || result == kSecTrustResultProceed);
     }

4.1 Implementasi NSURLProtocol kustom

iOS memungkinkan developer untuk mengintersepsi permintaan jaringan yang diinisiasi oleh sistem dengan mewarisi NSURLProtocol. Anda kemudian dapat mengimplementasikan logika permintaan HTTP/HTTPS pada level yang lebih rendah menggunakan antarmuka seperti CFNetwork atau NSInputStream/NSOutputStream:

1. Mencegat permintaan

   • Dalam metode canInitWithRequest:, Anda dapat menentukan apakah akan mengintersepsi permintaan saat ini.

   • Dalam metode startLoading, Anda dapat mengganti nama domain dalam URL permintaan asli dengan alamat IP dan menyimpan nama domain asli untuk verifikasi sertifikat serta pengaturan SNI selanjutnya.

2. Tetapkan SNI

   • Menggunakan API terkait CFStream atau antarmuka SecureTransport, Anda dapat menentukan kCFStreamSSLPeerName sebagai nama domain asli. Hal ini memastikan bahwa lapisan dasar menyertakan informasi nama domain yang benar selama fase jabat tangan SSL.

3. Verifikasi sertifikat

   • Anda dapat mengeksekusi proses verifikasi sertifikat secara manual untuk memastikan bahwa nama domain dalam sertifikat sesuai dengan nama domain asli.

Untuk contoh referensi, lihat implementasi sampel HttpDnsNSURLProtocolImpl.m yang disediakan Alibaba Cloud dalam httpdns_ios_demo. Anda dapat memodifikasi atau menggunakan ulang sesuai kebutuhan.

4.2 Menggunakan libcurl untuk permintaan jaringan

libcurl adalah library jaringan lintas platform yang diimplementasikan dalam C. Library ini mendukung pengaturan manual bidang SNI untuk mengirimkan informasi nama domain yang benar selama jabat tangan SSL, sehingga menyelesaikan verifikasi sertifikat dalam skenario di mana beberapa nama domain berbagi alamat IP yang sama. Proses umumnya sebagai berikut:

1. Selesaikan nama domain untuk mendapatkan alamat IP yang sesuai.

   • Sebagai contoh, Anda dapat menggunakan operasi API HTTPDNS seperti resolveHostSyncNonBlocking: untuk mendapatkan alamat IP dari nama domain target.

2. Konfigurasikan pemetaan SNI dan IP.

   • Gunakan CURLOPT_RESOLVE atau API lain untuk menambahkan pemetaan "domain:port:IP_yang_diselesaikan" ke cache DNS internal curl.

   • Lanjutkan menggunakan nama domain asli untuk CURLOPT_URL. Hal ini memastikan bahwa nama domain yang benar disertakan dalam jabat tangan TLS.

3. Verifikasi sertifikat.

   • libcurl mengaktifkan verifikasi sertifikat secara default. Anda juga dapat menggunakan callback yang sesuai untuk pemeriksaan sertifikat yang lebih detail sesuai kebutuhan.

Bagian kode inti berikut (pseudocode) menunjukkan cara menggunakan hasil resolusi HTTPDNS dengan libcurl untuk menyelesaikan permintaan di iOS:

CURL *curl_handle = curl_easy_init();
if (curl_handle) {
    // Misalnya, dapatkan IP = 1.2.3.4 dari HTTPDNS, nama domain target = example.com, port = 443
    struct curl_slist *dnsResolve = NULL;
    dnsResolve = curl_slist_append(dnsResolve, "example.com:443:1.2.3.4");
    // Atur pemetaan domain-ke-IP.
    curl_easy_setopt(curl_handle, CURLOPT_RESOLVE, dnsResolve);

    // Lanjutkan menggunakan nama domain asli sebagai URL.
    curl_easy_setopt(curl_handle, CURLOPT_URL, "https://example.com");

    // Aktifkan verifikasi SSL.
    curl_easy_setopt(curl_handle, CURLOPT_SSL_VERIFYPEER, 1L);
    curl_easy_setopt(curl_handle, CURLOPT_SSL_VERIFYHOST, 2L);

    // Inisiasi permintaan.
    CURLcode res = curl_easy_perform(curl_handle);

    // Periksa hasilnya.
    if (res != CURLE_OK) {
        fprintf(stderr, "curl_easy_perform() gagal: %s\n", curl_easy_strerror(res));
    }

    // Bersihkan.
    curl_easy_cleanup(curl_handle);
    curl_slist_free_all(dnsResolve);
}

4.3 Menggunakan EMASCurl

Untuk menurunkan hambatan penggunaan langsung libcurl di iOS, tim EMAS Alibaba Cloud menyediakan library EMASCurl. Library ini mengenkapsulasi libcurl dan mendukung integrasi langsung dengan HTTPDNS.

1. Instalasi dan intersepsi

   • Library ini menyediakan dua metode penggunaan utama: 1) Mengintersepsi NSURLSession yang dibuat dengan NSURLSessionConfiguration tertentu. 2) Mengintersepsi [NSURLSession sharedSession] global sistem.

   • Untuk informasi lebih lanjut tentang antarmuka API, lihat file README di GitHub.

2. Integrasi dengan HTTPDNS

   • Anda dapat mengimplementasikan protokol EMASCurlProtocolDNSResolver untuk meneruskan hasil resolusi HTTPDNS ke EMASCurl.

   • Dalam metode resolveDomain:, Anda dapat memanggil [HttpDnsService resolveHostSyncNonBlocking:] untuk mendapatkan alamat IP, lalu mengembalikan alamat IP tersebut ke EMASCurl untuk menyelesaikan pengaturan SNI dan pengiriman permintaan selanjutnya.

3. Verifikasi sertifikat

   • EMASCurl bergantung pada mekanisme verifikasi sertifikat libcurl. Developer juga dapat memperluas atau menyesuaikan verifikasi sertifikat melalui antarmuka yang sesuai untuk memenuhi kebutuhan bisnis.

4. Dukungan HTTP/3

   • EMASCurl menyediakan EMASCurl/HTTP3, versi terenkapsulasi berbasis libcurl yang mendukung QUIC. Developer dapat mengintegrasikannya sesuai kebutuhan untuk menggunakan kemampuan HTTP/3 tanpa adaptasi tambahan.