Безопасность IOS-приложений (часть 12) – выгрузка данных из Keychain

08:40 / 1 февраля, 2014

В предыдущей статье мы рассмотрели различные способы анализа сетевого трафика и api-вызовов, которые совершаются IOS-приложением. В этой статье мы рассмотрим способы выгрузки информации из хранилища Keychain IOS-устройства.

Автор: Пратик Джианчандани (Prateek Gianchandani)

Основы Keychain

Согласно документации Apple, Keychain представляет собой безопасный контейнер для хранения конфиденциальной информации (имен пользователей, паролей, сетевых паролей, аутентификационных токенов различных приложений). Встроенные средства операционной системы Apple хранят в Keychain сетевые пароли для Wifi, учетные записи Vpn и т. д. Эти данные зашифрованы и хранятся в базе данных sqlite в файле /private/var/Keychains/keychain-2.db. Разработчики обычно используют эту возможность для хранения учетных записей, вместо использования NSUserDefaults, plist-файлов и т. д. Причиной тому может быть желание разработчика сохранить информацию об аутентификации, чтобы пользователю при повторном открытии приложения не приходилось каждый раз вводить учетные данные. Данные keychain для каждого приложения хранятся вне изолированной среды (песочницы).

Также возможно совместное использование между приложениями данных keychain через группы доступа (keychain access groups). Эта группа должна быть определена во время сохранения информации в keychain. Наилучший способ сохранения информации в keychain – использовать класс KeychainItemWrapper. На сайте разработчиков Apple можно найти тестовый проект. Для начала необходимо создать экземпляр класса.

KeychainItemWrapper *wrapper = [[KeychainItemWrapper alloc] initWithIdentifier:@”Password” accessGroup:nil];

Идентификатор поможет в будущем в получении информации из keychain. Если вы хотите совместно использовать информацию из keychain с другими приложениями, то необходимо определить группу доступа. Приложения с одной и той группой доступа могут получать доступ к одной и той же информации из keychain.

KeychainItemWrapper *wrapper = [[KeychainItemWrapper alloc] initWithIdentifier:@”Account Number” accessGroup:@”YOUR_APP_ID_HERE.com.yourcompany.GenericKeychainSuite”];

Для сохранения информации в keychain используйте метод setObject:forKey:. В этом случае (id)kSecAttrAccount представляет собой предопределенный ключ, который мы можем использовать для объявления имени учетной записи, для которой мы храним информацию. Ключ kSecClass – определяет вид хранимой информации (в нашем случае это групповой пароль (generic password)). Ключ kSecValueData можно использовать для хранения любых данных (в нашем случае это пароль).

[keychainItemWrapper setObject:kSecClassGenericPassword forKey:(id)kSecClass]; [wrapper setObject:@"username" forKey:(id)kSecAttrAccount]; [keychainItemWrapper setObject:@"password"forKey:(id)kSecValueData]; [wrapper setObject:(id)kSecAttrAccessibleAlwaysThisDeviceOnly forKey:(id)kSecAttrAccessible];

Переменная kSecAttrAccessible используется для регулирования доступа к данным keychain. Следует быть осторожным при использовании этой переменной. Как сказано в документации Apple, переменная kSecAttrAccessible может принимать шесть возможных значений. Ниже приводится выдержка из документации.

Константы

kSecAttrAccessibleAfterFirstUnlock

К информации из keychain нет доступа после перезагрузки устройства до тех пор, пока устройство не разблокировано пользователем. После первой разблокировки данные становятся доступными до следующей перезагрузки. Рекомендуется использовать эту константу для записей, к которым осуществляется доступ со стороны фоновых приложений. Записи с этим атрибутом мигрируют на новое устройство при использовании зашифрованных резервных копий.