主机支持TLS 1.2，网络握手失败

Question

我正在尝试向支持TLS 1.2的服务器发帖——至少当我在浏览器中执行GET时，我可以验证通信是否使用TLS 1.2，以及证书是否由证书颁发机构验证。然而，当我试图使用AFIOS 9.0（13A4305g）/Xcode 7-beta4将代码发布到该服务器时，我的握手失败了。

AFHTTPRequestOperationManager *manager = [AFHTTPRequestOperationManager manager];
manager.requestSerializer = [AFHTTPRequestSerializer serializerWithContentType:@"application/x-www-form-urlencoded"];    
manager.responseSerializer = [AFJSONResponseSerializer serializer];    
[manager POST:requestString parameters:@{ @"apiKey" : MY_API_KEY,
                                          @"payload" : [MyParams paramsForPOSTAsJSON] }
  success:^(AFHTTPRequestOperation *operation, NSDictionary *responseDict) {
      ...
} failure:^(AFHTTPRequestOperation *operation, NSError *error) {
      myLog(@"Communication failed: %@", error);
}];

失败：

2015-08-06 15:01:08.398 MyApp[1795:394055] CFNetwork SSLHandshake failed (-9824)
2015-08-06 15:01:08.409 MyApp[1795:394055] NSURLSession/NSURLConnection HTTP load failed (kCFStreamErrorDomainSSL, -9824)
2015-08-06 15:01:08.412 MyApp[1795:393999] MyClass sendDataToServer Communication failed: Error Domain=NSURLErrorDomain Code=-1200 "An SSL error has occurred and a secure connection to the server cannot be made." ...

我错过什么了吗？我怎样才能挖得更深？假设这是服务器的问题，而不是代码的问题——我怎么能窥探到呢？

Answer 1

斯特芬引导我找到了答案，我确实需要合适的密码。查看端口上支持的密码的一个简单方法是密码扫描工具。应用程序传输安全支持的密码可以在这里找到。一旦我能够在一个完全配置的网站上测试，我就不需要任何白名单了。对于没有密码的TLS网站，我可以将NS30dPartyException必需的ForwardSecrecy设置为false。

更新

如果您使用OS X El Capitan的beta 3或更高版本，可以使用以下命令：

nscurl --verbose --ats-diagnostics <host>

这将告诉您为了使连接成功，您需要添加哪些条目到白名单中。这对于揭开CFNetwork SSLHandshaff（-9801）类型的SSL失败的神秘面纱非常有帮助。