iOS应用安全-专栏总目录(持续更新) 丨蓄力计划

分手后的思念是犯贱 2022-11-17 10:28 237阅读 0赞

### 文章目录 ###

*  引言
 *  I 代码混淆
 *  II 敏感逻辑的保护方案
 *  III 接口安全(网络加密传输)
 *   *  3.1 参数签名
     *  3.2 网络请求安全优化
     *  3.3 intercept the HTTP/HTTPS requests
     *  3.4 接口安全设计的Checklist
 *  see also

# 引言 #

欢迎大家来到`#公众号:iOS逆向`的《iOS应用安全》专栏

> 本文列出学习大纲，同时也可作为大家学习《iOS应用安全》专栏的索引。  
> 文中的蓝字都是超级链接，点击进入即可

*  本专栏的整体大纲模块

> 1、网络加密传输及安全优化：1.1、报文签名 1.2、SSL证书验证， Charles再也无法抓你的请求数据；1.3、不走全局proxy的方案；1.4、允许不验证SSL证书；1.5、拦截请求；1.6、DoH &DoT 1.7、SDL；  
> 2、动态保护  
> 3、代码混淆  
> 4、敏感逻辑的保护方案、敏感信息的脱敏、接口安全设计

# I 代码混淆 #

*  [iOS逆向：【代码混淆】1、基于编译器混淆静态库(StaticLib)2、字符串加密：使用clang-c接口将源代码转换成抽象语法树，并对抽象语法树进行遍历和分析，分析代码中的字符串，并进行加密处理。][iOS_1_StaticLib_2_clang-c]

# II 敏感逻辑的保护方案 #

*  [iOS安全：【敏感信息的脱敏规范】（数据类型包括日志相关、账户订单、个人信息、账户认证、持卡数据）][iOS]

> https://kunnan.blog.csdn.net/article/details/112363835

*  [iOS敏感逻辑的保护方案：【把函数名隐藏在结构体里,以函数指针成员的形式存储】（敏感信息的安全设计）][iOS 1]

> https://kunnan.blog.csdn.net/article/details/83746545

# III 接口安全(网络加密传输) #

## 3.1 参数签名 ##

*  [iOS安全规范指南之参数签名:参数按照ASCII码从小到大排序、拼接、加密（采用递归的方式进行实现）【案例:条码支付综合前置平台申请退款】 丨蓄力计划  
    ][iOS_ASCII_ _]

> https://kunnan.blog.csdn.net/article/details/115669856  
> ![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3UwMTEwMTg5Nzk_size_16_color_FFFFFF_t_70]

## 3.2 网络请求安全优化 ##

*  [1、iOS网络请求安全优化：SSL证书验证， 让Charles再也无法抓你的请求数据；对请求参数进行签名；2、不走全局proxy的方案；3、允许不验证SSL证书；4、拦截请求；5、DoH &DoT][1_iOS_SSL_ _Charles_2_proxy_3_SSL_4_5_DoH _DoT]

> https://kunnan.blog.csdn.net/article/details/106811271  
> 在使用NSURLSession时敏感的数据采用ephemeralSessionConfiguration配置，与默认配置相比，这个配置不会将缓存、cookie等存在本地，只会存储在内存里，所以当程序退出时，所有的数据都会消失。

*  [iOS安全【 SSL证书验证， 让Charles再也无法抓你的请求数据】][iOS_ SSL_ _Charles]
 *  [允许不进行SSL证书验证, 来规避SSL证书过期导致的请求报错][SSL_ _SSL]

AFSecurityPolicy *securityPolicy = [AFSecurityPolicy defaultPolicy];
    securityPolicy.validatesDomainName = NO;
    securityPolicy.allowInvalidCertificates = YES;
    manager.securityPolicy = securityPolicy;

## 3.3 intercept the HTTP/HTTPS requests ##

[iOS安全之【intercept the HTTP/HTTPS requests 】（拦截请求，实现特定目的：修改HTTPHeaderField、不走全局proxy、设置代理IP和端口） ｜ 蓄力计划][iOS_intercept the HTTP_HTTPS requests _HTTPHeaderField_proxy_IP_ _]

> ————————————————  
> 版权声明：本文为CSDN博主「\#公众号：iOS逆向」的原创文章，遵循CC 4.0 BY-SA版权协议，转载请附上原文出处链接及本声明。  
> 原文链接：[https://blog.csdn.net/z929118967/article/details/115690756][iOS_intercept the HTTP_HTTPS requests _HTTPHeaderField_proxy_IP_ _]

## 3.4 接口安全设计的Checklist ##

*  调用方来源IP控制

> 比如可通过防火墙、主机host deny、Nginx deny等技术措施进行实施

*  调用方身份认证

> 比如key、secret、证书等技术措施进行实施

*  调用参数认证

> 需设计参数容错机制，避免出现参数可遍历敏感数据安全问题

*  采用数字签名保障接口身份来源可信，数据防篡改

>  *  [1、iOS网络请求安全优化：SSL证书验证， 让Charles再也无法抓你的请求数据；对请求参数进行签名；2、不走全局proxy的方案；3、允许不验证SSL证书；4、拦截请求；5、DoH &DoT][1_iOS_SSL_ _Charles_2_proxy_3_SSL_4_5_DoH _DoT]  
>     https://kunnan.blog.csdn.net/article/details/106811271  
>     在使用NSURLSession时敏感的数据采用ephemeralSessionConfiguration配置，与默认配置相比，这个配置不会将缓存、cookie等存在本地，只会存储在内存里，所以当程序退出时，所有的数据都会消失。

*  调用方权限控制设置
 *  调用频率、有效期进行控制
 *  调用行为实时检测，对异常阻拦
 *  幂等性校验，保持数据一致性
 *  采用应用接入安全网关，实现APPID/KEY身份认证，加密传输，摘要签名安全保障

# see also #

> private [iOS ECC椭圆曲线、ECDSA签名验签和ECIES加解密][iOS ECC_ECDSA_ECIES]

[iOS_1_StaticLib_2_clang-c]: https://blog.csdn.net/z929118967/article/details/85599400
[iOS]: https://kunnan.blog.csdn.net/article/details/112363835
[iOS 1]: https://kunnan.blog.csdn.net/article/details/83746545
[iOS_ASCII_ _]: https://kunnan.blog.csdn.net/article/details/115669856
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3UwMTEwMTg5Nzk_size_16_color_FFFFFF_t_70]: /images/20221022/ea1f8a62a75140338d8dadfeedc0b8b0.png
[1_iOS_SSL_ _Charles_2_proxy_3_SSL_4_5_DoH _DoT]: https://kunnan.blog.csdn.net/article/details/106811271
[iOS_ SSL_ _Charles]: https://kunnan.blog.csdn.net/article/details/77115940
[SSL_ _SSL]: https://kunnan.blog.csdn.net/article/details/106811957
[iOS_intercept the HTTP_HTTPS requests _HTTPHeaderField_proxy_IP_ _]: https://blog.csdn.net/z929118967/article/details/115690756
[iOS ECC_ECDSA_ECIES]: https://kunnan.blog.csdn.net/article/details/116202087