MASTG-KNOW-0072: Avaliação de Confiança do Server

O ATS impõe verificações de segurança estendidas que complementam a avaliação de confiança do servidor padrão prescrita pelo protocolo Transport Layer Security (TLS). Afrouxar as restrições do ATS reduz a segurança do aplicativo. Os aplicativos devem preferir formas alternativas de melhorar a segurança do servidor antes de adicionar exceções ao ATS.

A Documentação do Apple Developer explica que um aplicativo pode usar URLSession para lidar automaticamente com a avaliação de confiança do servidor. No entanto, os aplicativos também podem personalizar esse processo, por exemplo, eles podem:

• Ignorar ou personalizar a expiração do certificado.
• Afrouxar/estender a confiança: aceitar credenciais do servidor que seriam rejeitadas pelo sistema, por exemplo, para fazer conexões seguras com um servidor de desenvolvimento usando certificados autoassinados incorporados no aplicativo.
• Reforçar a confiança: rejeitar credenciais que seriam aceitas pelo sistema.
• Etc.

Referências:

• Preventing Insecure Network Connections
• Performing Manual Server Trust Authentication
• Certificate, Key, and Trust Services