Ошибка в iOS 9 при использовании клиентских SSL-сертификатов и генерации ошибок HTTP 403

Нам потребовались дни, чтобы окончательно понять, но оказалось, что эта конкретная ошибка генерируется новой системой безопасности Apple Application Transport Layer. В частности, кажется, что если вы используете клиентские сертификаты, а ваш серверный API генерирует ошибку HTTP 403, ATL считает, что сертификат неисправен, и уничтожает всю транзакцию.

Мы знаем это, потому что мы можем видеть в журналах нашего сервера, что запрос проходит и выполняется правильно. Мы также заметили, что сокет остается активным через запрос, и эта ошибка появляется только после получения ответа от сервера. Мы также знаем, что наш клиентский сертификат работает, поскольку любой путь, не возвращающий 403, работает с нулевыми ошибками, а изменение кода ошибки HTTP на 401 устраняет эту проблему.

Это проблематично по ряду причин, но в основном потому, что ошибки HTTP не являются ошибками SSL. Они могут работать независимо друг от друга, и вполне возможно получить ошибку 403 с действительным SSL-сертификатом на стороне клиента....

Обходной путь заключается в том, чтобы изменить все ваши ошибки 403 на что-то другое. Я хотел бы отметить, что большое количество серверов Oauth1/2 будут генерировать различные ошибки 403, поэтому это может быть нетривиально. В качестве альтернативы можно использовать обратный прокси-сервер для переназначения ошибок HTTP 403 на другой код HTTP — мы не проверяли это.

Мы сообщили об ошибке в Apple, но я хотел предупредить людей, чтобы они могли не биться головой о стену, как это делали мы в течение недели....

Спасибо команде разработчиков Sherbit.io (в частности, Варуну и Мэтту) за отладку.