iOS開發如何避免安全隱患

如今不少iOS的APP沒有作任何的安全防範措施，致使存在不少安全隱患和事故，今天咱們來聊聊iOS開發人員平時怎麼作才更安全。

1、網絡方面

用抓包工具能夠抓取手機通訊接口的數據。以Charles爲例，用Charles能夠獲取http的全部明文數據，配置好它的證書後就能夠模擬中間人攻擊，獲取https加密前的明文數據。

1.1 中間人攻擊

先簡要地說下什麼是中間人攻擊：

①客戶端：「我是客戶端，給我你的公鑰」 -> 服務端（被中間人截獲）。

因此如今是：

客戶端->中間人

②而後中間人把消息轉給服務端，也就是：

中間人->服務端

③服務端把帶有公鑰的信息發送給客戶端，可是被中間截獲。因此是：

服務端-[服務端的公鑰] ->中間人

④中間人把服務端的公鑰替換成本身的公鑰，發送給客戶端，聲稱是服務端的公鑰：

中間人-[中間人的公鑰] ->客戶端

⑤客戶端用獲得的公鑰加密，實際是用中間人的公鑰進行加密，因此中間人能夠用本身的私鑰解密，獲取原始數據，而後再用服務端的公鑰對原始數據（或者修改原始數據內容）加密後發送給服務端。

這樣中間人就能夠獲取到雙方的通訊數據，並能夠製造虛假數據。

1.2 如何防範中間人攻擊？

下面開始說如何防範：

1.2.1 SSL Pinning

SSL Pinning的原理就是把服務端的公鑰存到客戶端中，客戶端會校驗服務端返回的證書是否和客戶端保存的一致，這樣就避免了中間人替換證書進行的攻擊。

SSL Pinning的實現比較簡單，只須要把CA證書放入項目中，經過Security framework實現NSURLSession上的SSL Pinning。若是用的是AFNetworking，代碼更簡單一點：

這樣經過Charles抓包就會報錯。

證書驗證有能夠只驗證公鑰（AFSSLPinningModePublicKey），也能夠徹底驗證證書（AFSSLPinningModeCertificate）。

可是用SSL Pinning有個很嚴重的問題，就是若是證書有問題，只有發佈新版本才能解決。若是新版本一直審覈不經過，app的網絡通訊就所有掛掉了。

好比賽門鐵克（Symantec）證書被google和iOS12不信任的問題。若是app內置了證書，就必需要從新發版。

1.2.2 接口內容進行加密

不少的app接口只對請求的參數進行加密和各類驗證，而接口返回過來的數據就是明文。若是不用SSL Pinning來防止中間人攻擊，也能夠把接口返回的數據也進行加密，這樣抓包工具抓到包後也依然不能破解。

好比微信，微信中的接口用的是http協議，可是內容所有進行了加密。

如今經常使用的是對稱加密，加密效率比較快。若是app裏有的數據特別重要，仍是要用非對稱加密，非對稱加密更安全，可是效率會比較慢。

2、日誌

2.1 Swift日誌

Swift中打印日誌的語法能夠用print，也能夠用NSLog。可是儘可能別用NSLog，由於Swift中用NSLog，系統日誌中是能查到的。能夠經過pp助手、iTools或者Xcode的Devices and Simulators 來查看系統日誌。

用print打印日誌就不會出如今系統日誌中。

2.2 OC日誌

在release環境下不要輸出NSLog日誌。通常你們都會用宏定義解決，以下：

3、信息的存儲

3.1 密鑰

大部分的程序員喜歡直接把密鑰放到宏或者常量裏。

如：#define AES_KEY @「aaa123"

這樣作很容易就能夠被反編譯出來。安全性比較差。能夠用如下方法增強安全，增長破解的難度。

對密鑰（A）進行加密後定義爲宏（B），使用的時候進行解密獲得密鑰（A）。其中對密鑰A加密的密鑰爲C。

由於在宏定義的時候咱們若是定義成字符串，會直接存在data段，這樣破解者很容易獲取到。比較安全的作法是把C和B定義成uint8_t[]數組，這樣每一個字符就會放到text段的每一個單獨指令中。指令執行後生成字符串。這樣就會很安全。

用一段長文本，按規則提取出裏面的密鑰，密鑰是隨機的。

在服務端和客戶端定義一段長文本，app端隨機生成起始位置和長度，把起始位置和長度進行移位等操做，生成相應的數字，對數字進行Base64編碼，生成的字符串 傳給服務端，服務端根據這個字符串 就能 解析出相關的密鑰。

代碼以下：

這樣只是增長了破解者獲取密鑰的難度，其實並不能徹底阻止破解者獲取。

3.2 Keychain

越獄的iPhone能夠查看導出Keychain保存的信息。Keychains的內容存放在sqlite中，目錄爲：/private/var/Keychains。能夠經過keychain-dump能夠查看鑰匙串裏存放的的內容。

因此保存到Keychain的數據必定要是加密以後的數據。

3.3 plist、sqlite

plist、sqlite能夠直接在ipa安裝文件中獲取到，因此不要在這些文件中存放重要信息，若是要保存，就進行加密後再存放。

4、app加固

4.1 代碼混淆

代碼混淆就是把易讀的類名、方法名替換成不易讀的名字。經常使用的方法有宏替換和腳本替換。

好比原本方法名爲：- (void)loadNetData; 進行代碼混淆後，用class-dump導出頭文件後會顯示成修改後的方法名：- (void)showxhevaluatess;

4.2 用C語言

核心代碼用C語言寫，可是C語言的函數也能夠被hook，好比用fishhook。開發人員能夠用靜態內聯函數來防止hock，破解者就只能去理解代碼的邏輯。

4.3 檢測tweak

能夠檢測 /Library/MobileSubstrate/DynamicLibraries 下的 plist 文件裏是否包含本身app的bundle id。若是包含，能夠進行限制app的功能、提示該手機不安全 等。

做者：何繼昌

來源：宜信技術學院

拓展閱讀：數據中臺：宜信敏捷數據中臺建設實踐|分享實錄