cocoa - Cocoa UI 和通用框架元素抵御恶意攻击的能力如何？

Question

到目前为止，我不太关心整体安全考虑，因为我一直在开发促销性且不重要的 iPhone 应用程序。

但是，目前我正在开发一个 Mac 应用程序，需要对此事进行更多思考，因为它处理敏感的用户信息。

虽然我知道我必须注意保护物理形式(在磁盘上)的数据，例如通过对其进行加密，但我想知道在正常使用应用程序的过程中数据驻留在内存中的安全性如何.

因此我想知道:
只要我的应用程序仅基于 NSTextField 和 Core Data 等框架元素构建，它有多安全？

Cocoa 输入元素对恶意攻击有多敏感？保护使用核心数据存储的已保存数据的最佳方法是什么？

Answer 1

Objective-C 是一种动态语言，这意味着可以在运行时替换类和类的特定方法。例如，1Password 插件就是这样进入 Safari 的，Dropbox 就是这样进入 Finder 的。目前，恶意攻击者可以使用低级别的 mach_inject API 或许多其他级别稍高的方法(例如 SIMBL 或 OSAX 注入(inject))将代码加载到您的应用程序中。一旦代码加载到您的应用程序中，Objective-C 的动态特性理论上可以用攻击者选择的子类或类中的特定方法(包括监听和存储用户输入)替换 NSTextField。 NSTextField 的安全版本是为密码设计的，可能对此有一些保护措施，尽管我还没有找到这方面的具体文档。 Security.framework 和钥匙串(keychain) API 通常确实可以保护内存中的数据，并且它们不是基于 Objective-C，因此干扰它们要困难得多(尽管可能仍然有可能)。