Home
Công nghệ thông tin
An ninh, bảo mật
Phương thức bảo mật tối thiểu cần phải có cho mọi ứng dụng iOS
Phương thức bảo mật tối thiểu cần phải có cho mọi ứng dụng iOS
Phân tích mã độc gồm hai phương pháp chính là phân tích
tĩnh và phân tích động. Trong bài này, chúng ta sẽ tìm hiểu về
những công cụ, phương pháp phân tích mã độc, dựa trên nền tảng
cụ thể là Windows.
B o m t ng d ng c a b n là m t trong nh ng khía c nh quan tr ng nh t ả ậ ứ ụ ủ ạ ộ ữ ạ ọ ấ
c a phát tri n ph n m m.ủ ể ầ ề
Ng i dùng ng d ng c a chúng ta hy v ng r ng các thông tin c a h đangườ ứ ụ ủ ọ ằ ủ ọ
đ c gi m t cách riêng t và an toàn.ượ ữ ộ ư
Trong bài vi t này, chúng ta s th o lu n nh ng sai l m mà các nhà phát ế ẽ ả ậ ữ ầ
tri n th c hi n đ i v i b o m t ng d ng và cách kh c ph c chúng.ể ự ệ ố ớ ả ậ ứ ụ ắ ụ
L u tr d li u nh y c m sai v tríư ữ ữ ệ ạ ả ở ị
Tôi đã nghiên c u nhi u ng d ng t AppStore và nhi u ng d ng trong sứ ề ứ ụ ừ ề ứ ụ ố
đó đang th c hi n cùng m t l i, l u tr d li u nh y c m n i chúng ự ệ ộ ỗ ư ữ ữ ệ ạ ả ở ơ
không thu c v .ộ ề
N u b n đang l u tr nh ng d li u nh y c m đó trongế ạ ư ữ ữ ữ ệ ạ ả UserDefaults, thì
b n đang m o hi m thông tin c a ng i dùng.ạ ạ ể ủ ườ
UserDefaults đ c l u tr đ n gi n nh m t t p danh sách các thu c tính ượ ư ữ ơ ả ư ộ ệ ộ
n m bên trong th m cằ ư ụ Preferences trong ng d ng c a b n. Chúng đ cở ứ ụ ủ ạ ượ
l u trong ng d ng c a chúng ta mà không b mã hóa d i b t kì hình th c ư ứ ụ ủ ị ướ ấ ứ
nào.
V c b n, b ng cách s d ng ng d ng c a bên th ba c a h đi u ề ơ ả ằ ử ụ ứ ụ ủ ứ ủ ệ ề
hành macOS ví d nhụ ư iMazing, th m chí không c n ph iậ ầ ả Jailbreak thi t b ế ị
c a b n, b n có th d dàng xem d li uủ ạ ạ ể ễ ữ ệ UserDefaults cho b t kỳ ng ấ ứ
d ng nào đ c t i xu ng tụ ượ ả ố ừ AppStore.
Các ng d ng trênứ ụ macOS này đ c thi t k đ n gi n đ cho phép b n ượ ế ế ơ ả ể ạ
khám phá và qu n lý các t p ng d ng c a bên th ba trên iPhone c a b n. ả ệ ứ ụ ủ ứ ủ ạ
Và b n có th d dàng khám pháạ ể ễ UserDefaultsc a b t kỳ ng d ng nào.ủ ấ ứ ụ
Lý do khi n tôi vi t bài này là tôi đã phát hi n ra r ng r t nhi u ng d ng ế ế ệ ằ ấ ề ứ ụ
mà tôi đã cài đ t t AppStore đang l u d li u nh y c m c a tôi ặ ừ ư ữ ệ ạ ả ủ
vào UserDefaults.
Có th l y ví d nhể ấ ụ ư Access Tokens, S l ng ti n trong game, v.v.ố ượ ề
T t c các d li u này có th d dàng l y ra và thay đ i qua đó gây thi t ấ ả ữ ệ ể ễ ấ ổ ệ
h i cho các ng d ng, t vi c s d ng mi n phí các tính năng tr ti n đ ạ ứ ụ ừ ệ ử ụ ễ ả ề ể
hack h th ng và nhi u đi u khác n a.ệ ố ề ề ữ
Cách đúng đ làm đi u đóể ề
You can also store items like the and that you manage with Certificate, Key,
and Trust Services.
B n nên luôn ghi nh m t đi u khi l u d li u trên ng d ng ạ ớ ộ ề ư ữ ệ ứ ụ
iOS, UserDefaults đ c thi t k ch đ l u tr m t l ng nh d li u nh ượ ế ế ỉ ể ư ữ ộ ượ ỏ ữ ệ ư
s thích c a ng i dùng, cài đ t đ n gi n bên trong ng d ng, nh ng th ở ủ ườ ặ ơ ả ứ ụ ữ ứ
hoàn toàn không nh y c m.ạ ả
Đ l u các d li u nh y c m c a ng d ng, chúng ta nên s d ng các d chể ư ữ ệ ạ ả ủ ứ ụ ử ụ ị
v b o m t do Apple cung c p.ụ ả ậ ấ
Keychain API giúp b n gi i quy t nh ng v n đ này b ng cách cung c p ạ ả ế ữ ấ ề ằ ấ
cho ng d ng c a b n m t cách đ l u tr l ng d li u nh c a ng i ứ ụ ủ ạ ộ ể ư ữ ượ ữ ệ ỏ ủ ườ
dùng trong c s d li u đ c mã hóa có tên làơ ở ữ ệ ượ keychain.
Trong keychain, b n đ c t do l u m t kh u và các bí m t khác mà ng iạ ượ ự ư ậ ẩ ậ ườ
dùng quan tâm m t cách rõ ràng, ch ng h n nh thông tin th tín d ng ho cộ ẳ ạ ư ẻ ụ ặ
th m chí nh ng dòng ghi chú nh y c m ng n.ậ ữ ạ ả ắ
Keychain Services API
D i đây mình s mô t cách b n có th l u m t kh u c a ng i dùng c aướ ẽ ả ạ ể ư ậ ẩ ủ ườ ủ
b n bên trongạ keychain.
class KeychainService {
func save(_ password: String, for account: String) {
let password = password.data(using: String.Encoding.utf8)!
let query: [String: Any] = [kSecClass as String:
kSecClassGenericPassword,
kSecAttrAccount as String: account,
kSecValueData as String: password]
let status = SecItemAdd(query as CFDictionary, nil)
guard status == errSecSuccess else { return print("save error")
}
}
trong dictionary mình có ph n kSecClass: kSecClassGenericPassword cho Ở ầ
bi t m c đó là m t kh u, t đóế ụ ậ ẩ ừ keychain api hi u r ng d li u yêu c u ể ằ ữ ệ ầ
đ c mã hóa.ượ
Sau đó, chúng ta thêm m t kh u m i vàoậ ẩ ớ keychain b ng cách ằ
g iọ SecItemAdd v i truy v n mà chúng ta v a t o.ớ ấ ừ ạ
L y d li u t ng t :ấ ữ ệ ươ ự
func retrivePassword(for account: String) -> String? {
let query: [String: Any] = [kSecClass as String:
kSecClassGenericPassword,
kSecAttrAccount as String: account,
kSecMatchLimit as String: kSecMatchLimitOne,
kSecReturnData as String: kCFBooleanTrue]
var retrivedData: AnyObject? = nil
let _ = SecItemCopyMatching(query as CFDictionary, &retrivedData)
guard let data = retrivedData as? Data else {return nil}
return String(data: data, encoding: String.Encoding.utf8)
}
Chúng ta có th vi t m t unit test đ n gi n đ đ m b o r ng d li u đ c ể ế ộ ơ ả ể ả ả ằ ữ ệ ượ
l u và truy xu t chính xácư ấ
func testPaswordRetrive() {
let password = "123456"
let account = "User"
keyChainService.save(password, for: account)
XCTAssertEqual(keyChainService.retrivePassword(for: account),
password)
}
Keychain API có v h i ph c t p khi s d ng l n đ u tiên n u b n ph i ẻ ơ ứ ạ ử ụ ầ ầ ế ạ ả
l u nhi u h n m t m t kh u, mình khuy n khích b n dùngư ề ơ ộ ậ ẩ ế ạ facade
pattern giúp b n l u và s a đ i d li u theo cách t t nh t tùy thu c vào ạ ư ử ổ ữ ệ ố ấ ộ
tr ng h p s d ng ng d ng c a b n.ườ ợ ử ụ ứ ụ ủ ạ
N u b n mu n bi t thêm vế ạ ố ế ề facade pattern và cách t o m t wrappers đ n ạ ộ ơ
gi n cho các h th ng con ph c t p, thìả ệ ố ứ ạ bài vi tế này có th giúp b n r t ể ạ ấ
nhi u.ề
Ngoài ra, có r t nhi u th vi n mã ngu n m giúp vi c s d ng API ấ ề ư ệ ồ ở ệ ử ụ
Keychain đ n gi n h n. M t s trong s đó ơ ả ơ ộ ố ố
là SAMKeychain và SwiftKeychainWrapper.
L u m t kh u và th c hi n vi c xác th cư ậ ẩ ự ệ ệ ự
R t nhi u l n Nhà phát tri n l u m t kh u ch a qua mã hoá trên ng d ng ấ ề ầ ể ư ậ ẩ ư ứ ụ
đ s d ng l i ho c g i login request tr c ti p b ng tên ng i dùng và m tể ử ụ ạ ặ ử ự ế ằ ườ ậ
kh u.ẩ
N u b n đang l u tr m t kh u tr c ti p trongế ạ ư ữ ậ ẩ ự ế UserDefault thì b n nên ạ
bi t bây gi b n có r t nhi u r i ro t thông tin đ c cung c p trong ph n ế ờ ạ ấ ề ủ ừ ượ ấ ầ
đ u tiên c a bài vi t này.ầ ủ ế
L u m t kh u vàoư ậ ẩ Keychain đ m b o an ninh m c đ t t h n nh ng sau ả ả ở ứ ộ ố ơ ư
đó, chúng ta luôn ph i l u m t kh u và thông tin nh y c m khác vào khóa ả ư ậ ẩ ạ ả
ho c n i khác b ng cách mã hóa chúng.ặ ở ơ ằ
Gi s k t n công có th hack thông qua b o m tả ử ẻ ấ ể ả ậ keychain ho c t n công ặ ấ
chúng ta thông qua qua network c a chúng ta, t đó k đó có th truy xu t ủ ừ ẻ ể ấ
tr c ti p m t kh u c a chúng ta d i d ng văn b n thô.ự ế ậ ẩ ủ ướ ạ ả
Cách ti p c n t t h n là l u tr m t kh u và s d ng chúng cho các yêu ế ậ ố ơ ư ữ ậ ẩ ử ụ
c u đăng nh p d i d ng băm đ c t o cho m t kh u này.ầ ậ ướ ạ ượ ạ ậ ẩ
Mã hóa d li u nh y c mữ ệ ạ ả
Vi c t th c hi n vi c băm có th th c s ph c t p và quá m c c n thi t, ệ ự ự ệ ệ ể ự ự ứ ạ ứ ầ ế
vì v y trong bài vi t này, chúng ta s s d ng s tr giúp c a m t th vi n ậ ế ẽ ử ụ ự ợ ủ ộ ư ệ
mã ngu n m c a iOSồ ở ủ CryptoSwift.
CryptoSwift là m t b s u t p các thu t toán mã hóa tiêu chu n và an toàn ộ ộ ư ậ ậ ẩ
đ c th c hi n trong Swift và đ c c p nh t th ng xuyên.ượ ự ệ ượ ậ ậ ườ
Hãy th l u và l y l i m t kh u trênử ư ấ ạ ậ ẩ keychain b ng cách s d ng các thu tằ ử ụ ậ
toán đ c cung c p b iượ ấ ở CryptoSwift.
func saveEncryptedPassword(_ password: String, for account: String) {
let salt = Array("salty".utf8)
let key = try! HKDF(password: Array(password.utf8), salt: salt, variant:
.sha256).calculate().toHexString()
keychainService.save(key, for: account)
}
Ph ng th c này có m t tài kho n và m t kh u và l u m t chu i băm ươ ứ ộ ả ậ ẩ ư ộ ỗ
trên Keychain thay vì m t chu i tr c ti p.ộ ỗ ự ế
Chúng tôi t o raạ salt đ làm cho vi c t n công tr nên khó khăn h n.ể ệ ấ ở ơ
N u chúng ta ch băm nh m t kh u c a mình, hacker có th có danh sách ế ỉ ỏ ậ ẩ ủ ể
các m t kh u đ c s d ng nhi u nh t và t o các hash c a chúng và so ậ ẩ ượ ử ụ ề ấ ạ ủ
có thể bạn quan tâm
GIẤY XÁC NHẬN NỘI DUNG THÔNG TIN THUỐC THEO HÌNH THỨC HỘI THẢO GIỚI TH...
1
980
333
Biểu mẫu, văn bản khác
1
(New)
ĐƠN ĐỀ NGHỊ XÁC NHẬN NỘI DUNG THÔNG TIN THUỐC THEO HÌNH THỨC HỘI THẢO...
2
911
349
Biểu mẫu, văn bản khác
2
(New)
Báo cáo thực tập: Giới thiệu khái quát chung, thực hành ghi sổ kế toán...
45
901
313
Kinh tế quản lý
45
(New)
Giới thiệu về tổng đài Asterisk, trình bày kiến trúc , tính năng và ng...
86
1.482
441
Kỹ thuật
86
(New)
Thực trạng vận dụng phương thức thanh toán tín dụng chứng từ tại SGD-...
41
1.039
292
Kỹ thuật
41
(New)
Chính sách thù lao lao động hợp lý và hoạt động tạo động lực lao động...
35
810
351
Kinh tế quản lý
35
(New)
Luận văn: Hiện thực và phương thức mở rộng cho vay tiêu dùng tại NH VP...
77
669
321
Kinh tế - Thương mại
77
(New)
Phương thức tín dụng chứng từ là gì?
18
759
309
Tài liệu tài chính - ngân hàng khác
18
(New)
thông tin tài liệu
Bảo mật ứng dụng của bạn là một trong những khía cạnh quan trọng nhất của phát triển phần mềm.
Người dùng ứng dụng của chúng ta hy vọng rằng các thông tin của họ đang được giữ một cách riêng tư và an toàn.
Trong bài viết này, chúng ta sẽ thảo luận những sai lầm mà các nhà phát triển thực hiện đối với bảo mật ứng dụng và cách khắc phục chúng.
Mở rộng để xem thêm
tài liệu mới trong mục này
tài liệu hot trong mục này
tài liệu giúp tôi
Nếu bạn không tìm thấy tài liệu mình cần có thể gửi yêu cầu ở đây để chúng tôi tìm giúp bạn!
×
