如何在iOS App中安全地包含服務器憑據

Question

我有一個iOS應用程序，該應用程序定期連接到服務器以查找數據更新。 該連接使用SSL和HTTPBasicAuthentication。

在應用程序中包含服務器登錄憑據的最佳方法是什么？ 據我了解，越獄的iPhone可以讀取我的構建文件，並輕松查看用戶名和密碼以登錄我的服務器。

謝謝，

麥克風

Answer 1

沒有辦法完全確保這一點。 最好的辦法是將其隱藏起來（也許是您在應用程序中解密的加密文件），然后監視服務器，看似不是來自應用程序的流量。

如果您想偷偷摸摸地對身份驗證數據進行加密，然后使用某種速記技術-將憑據嵌入圖像中，或者甚至將原始數據嵌入看起來像其他東西（例如SSH密鑰）的文件中。

但是，越獄的開發人員始終可以掛接到您的應用程序中，以查看解析結果，或者可以運行SSH代理以僅監視您發送的所有內容。

Answer 2

您無需“越獄”您的應用即可讀取URL。 Mac上的一個簡單的數據包嗅探器軟件即可完成。 通過Mac的Wifi路由所有iPhone流量並進行嗅探。 但是，這里的主要問題是，為什么？

如果要保護數據，則應安全地進行處理。 如果您在某個plist中對應用程序的用戶名/密碼進行硬編碼，則說明某處存在問題。

檢查更新不一定是安全的，因為真正的數據訪問應該是安全的。 如果您要下載應用內購買數據，請針對IAP收據進行驗證。 如果您正在為擁有服務帳戶的用戶下載數據，則顯然該用戶輸入了密碼，如果您使用適當的加密方法，則數據包嗅探器不會“嗅探”該密碼。