为APNS安装根证书

Question

我们收到了来自苹果的消息，通知我们关于CA证书的事情。旧的GeoTrust Global CA根证书将被AAACertificateServices 5/12/2020替换。我正在检查我的App Engine设置，但没有找到任何配置根证书的方法，所以我认为Google管理这些证书。我是对的吗？

引用块中提到，在2021年3月29日之前，基于令牌和证书的HTTP/2连接到Apple Push Notification服务必须包含新的根证书（AAACertificateServices 5/12/2020），以取代旧的GeoTrust Global CA根证书。为确保平滑过渡并避免推送通知传递失败，请在3月29日之前验证每个通知服务器的HTTP/2接口的旧和新根证书是否都包含在信任存储中。如果您的提供者服务器运行macOS，则默认情况下在密钥链中存在GeoTrust Global CA根证书。如果您的提供者服务器运行macOS 10.14或更高版本，则默认情况下存在AAA Certificate Services根证书。在其他系统上，您可能需要自己安装此证书。您可以从GeoTrust根证书网站下载GeoTrust Global CA根证书。您可以从Sectigo KnowledgeBase网站下载“AAACertificateServices 5/12/2020”证书。

最好的祝愿。

- Rafael Espí Botella

---

请参考此链接：https://www.zealousweb.com/how-to-send-http-2-based-push-notification-in-ios/，了解如何在iOS中发送基于HTTP/2的推送通知。 - Arun

据我所知，是的，Google是连接到APNS的那个，因此他们负责将AAA证书服务添加到其受信任的根证书中。在我的情况下，我使用AWS SNS，但是我没有找到任何官方声明，所以可能我们需要等待。 - tomacco

我猜这与我在Apple Push Notification service server certificate update上发布的答案差不多。但我不了解Google App Engine。 - Glorfindel

Answer 1

我的理解是，除非您的应用程序引擎应用程序使用自定义域（即未在*.appspot.com上提供服务），并且您未针对此自定义域使用Google管理的证书，否则Google将管理根证书。

尽管如此，我仍希望能够正式检查过渡期间的情况是否正常，但我没有找到如何这样做。查看*.appspot.com的根证书显示了一个Global Sign根证书，而不是目前苹果APN服务器所依赖的传统GeoTrust证书。但由于*.appspot.com目前可以正确连接到苹果APN服务器，我猜测这里涉及跨证书颁发机构的交叉签名或相互认可。

我还预计，苹果的沙盒APN服务器会比生产环境更早地进行过渡，以便开发人员首先在测试环境中看到失败，但我没有看到苹果在这方面传达任何具体信息。

总的来说，我并不担心，因为我理解这是苹果最终迁移到广泛认可的根证书，而当前的根证书已被许多组织视为不安全。这也意味着我们非常幸运，直到今天使用App Engine连接到APNs一直很顺利（并希望这将持续到3月底！）

- Alex