Steven Lilley, CC BY-SA 2.0, Wikimedia Commons
Этой осенью iOS 27 может отказать серверам с неверной настройкой
Усиленные требования Apple к TLS в системах 27 могут превратить предупреждения в ошибки соединения при управлении устройствами, установке приложений и обновлениях. Администраторам нужно успеть проверить инфраструктуру.
Что изменится в версии 27
Согласно Apple Support, начиная с iOS, iPadOS, macOS, watchOS, tvOS и visionOS 27.0 системы могут отказать серверам с устаревшей или несоответствующей конфигурацией TLS. В 26.4 и новее нарушение обычно записывается как предупреждение, а в 27 может стать ошибкой и остановить соединение.
Какие процессы затронуты
Речь идёт об управлении устройствами, Declarative Device Management, автоматической регистрации, установке профилей, установке приложений, включая корпоративное распространение, и обновлениях. Обычный трафик приложения не является целью правила. Серверы SCEP и кэширования контента исключены.
Требования к TLS
Нужен TLS 1.2 или новее, причём Apple рекомендует 1.3. Для TLS 1.2 потребуются ECDHE с прямой секретностью, AEAD-наборы на AES-GCM с SHA-256, SHA-384 или SHA-512 и расширение extended master secret из RFC 7627. Сертификат должен иметь ключ RSA от 2048 бит или ECDSA от 256 бит и подпись SHA-2.
Как провести проверку
Apple рекомендует установить Network Diagnostics Logging Profile на тестовое устройство с версией 26.4 или новее, повторить обычные процедуры регистрации и установки, собрать sysdiagnose и искать события ATS Violation или ATS FCPv2.1 violation. Отдельный домен можно проверить командой nscurl --ats-diagnostics. Нужно проверить разные роли устройств, потому что они обращаются к разным серверам.
Проблема внешних поставщиков
Apple предупреждает, что серверы внешних поставщиков могут требовать много времени для исправления. Собственный балансировщик можно перенастроить, но конечная точка MDM-провайдера, хост корпоративных приложений или устаревший аппарат потребуют заявки в поддержку, переговоров или миграции.
Что заметит пользователь
Для личного, неуправляемого iPhone или Mac обычно ничего не изменится. На корпоративном или учебном устройстве после перехода на 27 установка приложения или обновление может завершиться ошибкой. Исправлять TLS должен администратор организации и её поставщики.