ios - 如何保护应用程序 - 后端通信？

Question

我有一个 iOS 应用程序和一个小型后端，目前我使用它来管理 apns(Apple 推送通知)。注册过程只是一个带有参数的 GET 调用到我的后端，并且由于没有“身份验证”或任何其他类型的控制，我担心任何人都可以通过虚假设备注册使我的后端过载。

所以主要问题是:在没有身份验证的情况下，我如何才能使这种应用程序发送信息到后端的传输安全？

我想到的一个简单想法是使用应用在注册设备时必须提供的 token 生成某种哈希...

Answer 1

没有办法彻底解决这个问题。无法知道正在连接的是您的应用程序。您所能做的就是添加一点混淆。

最好的第一步是使用 SSL with a pinned certificate使中间人攻击更加困难。客户端证书可以提供帮助，但设置起来有点麻烦，而且与其他解决方案相比不会给您带来太多好处。

如果您有固定证书和 SSL，只需发送一个共享 key 和 GET 可能就足够了。将 secret 从一个版本更改为另一个版本，这样你就可以淘汰旧的。如果有人对您的应用程序进行了足以破解固定证书(或直接读取共享 secret )的逆向工程，那么他们也将破坏所有其他方法。

即便如此，这里还有一些增加了一点额外的层次:

Bidirectional shared-secret verification with AES是一种很好且简单的方法，但需要握手(即您不能使用单个 GET 来完成)。您当然可以只实现这种单向方式(这样服务器会验证 key ，而不是客户端)，但您仍然需要握手。

如果您想将您的身份验证 token 保留为单个 GET 并且无法固定您的 SSL 证书，并且您可以使您的 GET 幂等(无论如何，好的 REST 调用应该是幂等的)，那么这是一个简单的实现:

• 构造GET请求
• 计算 HMAC(SHA-256, shared-secret, get-request, 16 bytes)
• 发送 HMAC 和 GET 请求

在 iOS 上，这看起来像:

NSData *key = ...random 32 bytes shared with server...;
NSURLRequest *request = ...;

// Allocate some memory for the HMAC
NSMutableData *hmac = [NSMutableData dataWithCapacity:CC_SHA256_DIGEST_LENGTH];

// Convert your URL into data. This assumes that this is a GET request, so the URL
// has everything. This also assumes that the GET is idempotent, so if someone
// replays this GET request, you don't care.
NSData *requestData = [[[request URL] absoluteString] dataUsingEncoding:NSUTF8StringEncoding];

// Compute the HMAC
CCHmac(kCCHmacAlgSHA256,
       [key bytes],
       [key length],
       [requestData bytes],
       [requestData length],
       [hmac mutableBytes]);

// Truncate the HMAC (this is common practice. It's slightly better, and at least no
// worse, to send half the HMAC rather than the whole HMAC).
NSData *token = [hmac subdataWithRange:NSMakeRange(0, [hmac length] / 2)];

NSURLRequest *finalRequest = ... add the token to your request ...

您当然会在服务器端计算相同的东西。您可以将此视为“签署 GET”。如果您的请求不是幂等的，那么您真的应该努力解决这个问题。如果您无法修复它，您可以将时间戳集成到哈希中并丢弃太旧或您以前见过的请求。 (在这样做的过程中，您已经使 GET 成为幂等的....)

当您升级您的应用程序时，您可能应该更改您的共享 key 。这样，您最终可以淘汰已发现的旧共享 secret 。

是的，这些都可以逆向工程。 任何尝试对应用程序(而不是用户)进行身份验证的东西都可以进行逆向工程。因此，请保持简单，并更多地关注如果发生这种情况您将如何恢复。

如果可能的话，添加用户身份验证。它更强大。