App Transport Security

App Transport Security - механизм, придуманный Apple для своих устройств как аналог HSTS https://forums.developer.apple.com/thread/6767

Check Server

как проверить, настроен ли ATS на сервере:

$ nscurl --ats-diagnostics https://www.example.com

<...>
Default ATS Secure Connection
---
ATS Default Connection
Result : PASS
---
Allowing Arbitrary Loads
---
Allow All Loads
Result : PASS
---
<...>
Configuring PFS exceptions for www.example.com
---
Disabling Perfect Forward Secrecy
Result : PASS
---
<...>

Если на стороне сервера есть ошибки, лучше исправить их изменив конфигурацию, чем понижать уровень защищенности ATS клиента.

ATS Disabled

Check Client

Проверять как настроен ATS - в Info.plist Вот пример отключения ATS для приложения (за исключением доменов, объявленных в NSExceptionDomains). Для этих доменов можно определять свои настройки.

<key>NSAppTransportSecurity</key>
<dict>
  <key>NSAllowsArbitraryLoads</key>
  <true/>
  <key>NSExceptionDomains</key>
    <dict>
        <key>example.com</key>
        <dict>
            <key>NSIncludesSubdomains</key>
            <true/>
        </dict>
    </dict>
</dict>

The application may have ATS exceptions defined to allow it’s normal functionality. For an example, the Firefox iOS application has ATS disabled globally. This exception is acceptable because otherwise the application would not be able to connect to any HTTP website that does not have all the ATS requirements.

Общие рекомендации

- ATS должен быть настроен в соответствии с лучшими практиками Apple и деактивирован только при определенных обстоятельствах (например, 3th party not support ATS) - If the application opens third party web sites in web views, then from iOS 10 onwards NSAllowsArbitraryLoadsInWebContent can be used to disable ATS restrictions for the content loaded in web views

Есть еще механизм PFS

PFS — Perfect Forward Secrecy

Подробная статья у NowSecure

A security analyst’s guide to NSAppTransportSecurity, NSAllowsArbitraryLoads, and App Transport Security (ATS) exceptionsNowSecure

Документация по настройке: https://developer.apple.com/library/archive/documentation/General/Reference/InfoPlistKeyReference/Articles/CocoaKeys.html#//apple_ref/doc/uid/TP40009251-SW33