阅读 369

7.ios - 应用签名原理

代码签名是对可执行文件或脚本进行数字签名.用来确认软件在签名后未被修改或损坏的措施。和数字签名原理一样,只不过签名的数据是代码而已.

简单的代码签名

  • 在iOS出来之前,以前的主流操作系统(Mac/Windows)软件随便从哪里下载都能运行,系统安全存在隐患,盗版软件,病毒入侵,静默安装等等.那么苹果希望解决这样的问题,要保证每一个安装到 iOS 上的 APP 都是经过苹果官方允许的,怎样保证呢?就是通过代码签名。
  • 如果要实现验证.其实最简单的方式就是通过苹果官方生成非对称加密的一对公私钥.在iOS的系统中内置一个公钥,私钥由苹果后台保存,我们传APP到AppStore时,苹果后台用私钥对APP数据进行签名,iOS系统下载这个APP后,用公钥验证这个签名,若签名正确,这个APP肯定是由苹果后台认证的,并且没有被修改过,也就达到了苹果的需求:保证安装的每一个APP都是经过苹果官方允许的.
  • 如果我们iOS设备安装APP只从App Store这一个入口这件事就简单解决了,没有任何复杂的东西,一个数字签名搞定.
  • 但是实际上iOS安装APP还有其他渠道.比如对于我们开发者iOSER而言,我们是需要在开发APP时直接真机调试的.而且苹果还开放了企业内部分发的渠道,企业证书签名的APP也是需要顺利安装的.
  • 苹果需要开放这些方式安装APP,这些需求就无法通过简单的代码签名来办到了。

我的理解

  • 即:我们的手机中的ios系统下有个内置的公钥,私钥在苹果后台。
  • APP上架,AppStore 对APP数据进行签名,就是对app代码的HASH值进行RSA加密
  • 其他用户下载这个APP时公钥解密这个HASH值 同时在本地用同样算法计算这个app的HASH,若签名正确,这个app肯定是app后台认证的

其他问题

  • 真机调试
  • 企业内部分发APP

苹果的需求

那么我们来分析一下,它有些什么需求:

  • 安装包不需要上传到App Store,可以直接安装到手机上.
  • 苹果为了保证系统的安全性,又必须对安装的APP有绝对的控制权
    • 经过苹果允许才可以安装
    • 不能被滥用导致非开发APP也能被安装
  • 为了实现这些需求,iOS签名的复杂度也就开始增加了,苹果这里给出的方案是双层签名.

双层代码签名

  • 为了实现苹果验证应用的一些需求,iOS签名的复杂度也就开始增加了,苹果给出的方案是双层签名.

  • iOS的双层代码签名流程这里简单梳理一下,这也不是最终的iOS签名原理.iOS的最终签名在这个基础上还要稍微加点东西.

  • 首先这里有两个角色.一个是iOS系统 还有一个就是我们的Mac系统.因为iOS的APP开发环境在Mac系统下.所以这个依赖关系成为了苹果双层签名的基础.

即:一台手机,一台电脑,一个苹果服务器,appStore。四者直接的关系

  • 1.在Mac系统中生成非对称加密算法的一对公钥\私钥(你的Xcode帮你代办了).这里称为公钥M 私钥M . M = Mac

  • 2.苹果自己有固定的一对公私钥,跟之前App Store原理一样,私钥在苹果后台,公钥在每个iOS系统中.这里称为公钥A , 私钥A. A=Apple

  • 3.把公钥M 以及一些你开发者的信息,传到苹果后台(这个就是CSR文件),用苹果后台里的私钥 A 去签名公钥M。得到一份数据包含了公钥M 以及其签名,把这份数据称为证书。

image.png

  • 1.Mac电脑生成一个CSR文件,里面包含了开发者的信息,和自己的公钥M(公钥M为主要信息)传递到苹果服务器。
  • 2.苹果服务器先对公钥M和生成的公钥M的HASH值RSA加密,数据签名 生成一个证书文件返回。苹果服务器相当于认证机构,颁发证书。
  • 3.私钥M即.P12文件
  • 4.我利用电脑开发了一个APP,利用私钥M签名APP,对APP的执行文件MachO,二进制数据数据文件计算HASH值同时利用私钥M,加密HASH值。在加上我们从苹果那里拿到的证书一起打包上传到APPStore,经过APP的审核之后,APP可以给用户使用了。
  • 5.用户下载这个ipa包加载到手机中。手机ios系统中的公钥A对这个证书认证并进行解密,获取到了公钥M和HASH值,公钥M利用同一套的算法计算一个HASH值来对比获取到的HASH,验证数据是否被篡改。通过之后,我用这个公钥M对这个APP的签名数据进行解密。即公钥A解密证书获取公钥M。
  • 6.公钥M解密APP的签名,验证解密MachO执行文件。通过则说明已经得到了苹果公司服务器的认证了。

描述文件

image.png

  • 苹果为了解决应用滥用的问题,所以苹果又加了两个限制.
    • 第一限制在苹果后台注册过的设备才可以安装.
    • 第二限制签名只能针对某一个具体的APP.
    • 并且苹果还想控制App里面的iCloud/PUSH/后台运行/调试器附加这些权限,所以苹果把这些权限开关统一称为Entitlements(授权文件).并将这个文件放在了一个叫做Provisioning Profile(描述文件)文件中.
    • 描述文件是在AppleDevelop网站创建的(在Xcode中填上AppleID它会代办创建),Xcode运行时会打包进入APP内.
    • 所以我们使用CSR申请证书时,我们还要申请一个东西!! 就是描述文件!
    • 在开发时,编译完一个 APP 后,用本地的私钥M对这个APP进行签名,同时把从苹果服务器得到的 Provisioning Profile 文件打包进APP里,文件名为embedded.mobileprovision,把 APP 安装到手机上.最后系统进行验证。

image.png

总结

  • 1.Mac 电脑生成一对公钥和私钥
    • 利用本地公钥创建CSR文件,请求证书,打开钥匙串->证书助理->从证书颁发机构请求证书->填写信息之后下载到本地。请求证书则登录AppleDeveloper的,去打开刚刚的SCR文件后下载,有开发证书和发布证书,详细步骤请百度,很多人都写了的。
    • 钥匙串将证书和本地私钥(P12证书)做关联
  • 2.苹果服务器利用本地私钥(服务器他自己的私钥不是我们电脑的私钥)生成证书以及描述信息
    • 证书中包含了MAC电脑的公钥以及签名(加密的公钥M的HASH值)
    • 描述文件:设备列表、AppID列表、权限(推送权限及其他)
  • 3.ios系统(手机)利用系统中公钥(与苹果服务器的私钥是一对)对APP进行验证
    • 验证描述文件是否与证书匹配
    • 验证APP的安装行为(通过验证证书,拿出证书中的公钥和APP的签名进行验证)
文章分类
iOS
文章标签