iphone - 如果可能进行逆向工程，如何保护应用程序 IPA 免受黑客攻击

Question

最近，我们为一家大型银行机构开发并在应用商店发布了一款移动银行应用。该银行聘请了一家安全公司对该应用程序进行道德黑客攻击，以查看它是否以任何方式泄露 secret 数据。

我们最近收到了该公司的黑客攻击报告，尽管报告中说不存在严重的安全问题，但其中包含项目的所有类文件、方法名称和汇编代码的列表。

现在客户坚持要我们修复这些安全漏洞并重新发布应用程序。然而，我们不知道他们是如何设法从应用程序的 IPA 中获取所有这些详细信息的。我在 SO 上搜索了这个，发现了一个提到 this 的特定帖子链接，其中声明您无法保护您的应用免遭黑客攻击。

请帮助我如何修复这些安全漏洞，或者如果不可能，如何说服客户。

编辑:最近遇到this页。似乎 Arxan 的 EnsureIT 可以防止应用程序 IPA 进行逆向工程。有没有人有过这方面的经验？

Answer 1

总是存在风险。即使您自己不引入漏洞，该平台也可能允许漏洞利用，最终可能为恶意攻击者提供入口点。

关于您的问题:假设硬编码 URL 是不安全的，即使混淆得令人难以置信，也不能从您的产品中剥离。 始终设计您的应用程序，以便(尽可能)保证用户数据的安全，即使内置资源受到损害也是如此。如果仅知道该 URL 就会构成安全威胁，那么您的整个方法和您的客户端 API 本质上都是不安全的。请记住，此类信息也可能被中间人攻击(和其他攻击模式)捕获。

通过模糊来避免安全。仅在必要时将敏感数据存储在磁盘上。通常不允许 PIN/TAN 存储。

一些可能(或可能不会)让您的客户相信您的应用程序尽可能安全的想法:

• 只要应用程序在未越狱的设备上运行，攻击者即使了解您的应用程序内部结构也不太可能获取任何用户数据，因为 iPhone 通常不会提供干扰机会与您的应用
• 如果攻击者能够获取您的用户数据，并且假设您一直在使用 iOS 下可用的所有方法(-> 钥匙串(keychain) -> 加密芯片 ->...)保护该数据，那么这不是您的错。这意味着设备要么已越狱，要么系统本身存在已被利用的漏洞，您对这两种可能性都无能为力。
• 无法阻止对您的应用进行逆向工程。即使你在混淆上付出了更多的努力，一个有强烈动机的攻击者仍然能够得到他想要的东西。您的客户需要习惯这一点，因为这是事实。
• 其他平台也存在类似的漏洞，但在 iPhone 上至少你有一个相对封闭的环境，并且降低了被木马等攻击的风险。
• 政府和安全公司经常遭到黑客攻击，尽管他们现在应该如何保护自己。这意味着生活本质上是不安全的，应对它。