ios - 如何加密 iOS 中的移动配置文件(在 OTA 部署中)？

Question

我正在尝试为 iOS 设备签署和加密 .mobileconfig 配置文件。

使用 ruby​​ 中的 openssl::pkcs7 签名功能可以完美地签名，

但是使用加密功能，我得到了加密数据，但 Safari 无法安装配置文件，提示 “无效配置文件”。

这方面有两个问题:

1. .mobileconfig 配置文件中的哪些数据实际上是加密的进入 (key) 的 (data)..(/data) 部分加密有效负载内容(/ key )？

2. 数据是二进制格式(.der)还是base64编码？

在这方面的任何帮助都会有所帮助，因为 APPLE 严重缺乏任何加密配置文件的文档。

Answer 1

此问题与 another question 相同.在此处重新发布答案，并进行一些修改!

我用过OpenSSL Ruby 和 Plist 中可用的模块 gem 。

考虑密码限制配置文件。

passcode_payload ={
              'PayloadUUID' => 'RANDOM_STRING_UUID',
              'PayloadOrganization' => 'PayloadOrganization',
              'PayloadVersion' => 1,
              'PayloadIdentifier' => 'com.test.PayloadIdentifier',
              'PayloadType' => 'Configuration',
              'PayloadDisplayName' => 'PayloadDisplayName',
              'PayloadRemovalDisallowed' => false
            }
  passcode_payload_content = {
              'PayloadDescription' => 'PayloadDescription',
              'PayloadDisplayName' => 'PayloadDisplayName',
              'PayloadIdentifier' => 'PayloadIdentifier',
              'PayloadOrganization' => 'PayloadOrganization',
              'PayloadType' => 'com.apple.mobiledevice.passwordpolicy',
              'PayloadUUID' => "RANDOM_STRING_UUID",
              'PayloadVersion' => 1,
              'allowSimple' => true,
              'forcePIN' => true
              'maxPINAgeInDays' => 20,
              'minComplexChars' => 1,
              'minLength' => 4,
              'requireAlphanumeric' => true
            }

通常对于普通配置文件，passcode_payload_content 作为字典数组进入 passcode_payload['PayloadContent']。

passcode_payload['PayloadContent'] = [passcode_payload_content]

但对于加密的配置文件，PayloadContent 应该被删除，EncryptedPayloadContent 应该根据 configuration profile key reference document 使用.

问题 1: .mobileconfig 配置文件中的哪些数据实际上是加密的，这些数据进入( key )EncryptedPayloadContent (/key) 的 (data)..(/data) 部分

来自文档，

To encrypt a profile do the following:

Remove the PayloadContent array and serialize it as a proper plist.

Note that the top-level object in this plist is an array, not a dictionary.

CMS-encrypt the serialized plist as enveloped data. Serialize the encrypted data in DER format.

Set the serialized data as the value of as a Data plist item in the profile, using the key EncryptedPayloadContent

因为plist中的顶级对象应该是一个数组

passcode_payload_content_array = [passcode_payload_content]

序列化到正确的 plist

to_be_encrypted_plist = passcode_payload_content_array.to_plist

加密证书负载内容，

device_certificate = OpenSSL::X509::Certificate.new File.read('deviceIdentityCertificate.pem')
encrypted_payload = OpenSSL::PKCS7.encrypt([device_certificate],to_be_encrypted_plist, OpenSSL::Cipher::Cipher::new("des-ede3-cbc"),OpenSSL::PKCS7::BINARY)

问题 2:数据是二进制格式 (.der) 还是 base64 编码？

将加密的payload内容添加到der格式的原始payload中

passcode_payload['EncryptedPayloadContent'] = StringIO.new(encrypted_payload.to_der)