如何安全地包含服務器憑證與iOS應用程序

Question

我有一個iOS應用程序，連接到服務器定期尋找數據更新。連接使用SSL和HTTPBasicAuthentication。

什麼是最好的方式來包括我的服務器登錄憑據與應用程序？根據我的理解，越獄iPhone可以讀取我的構建文件並輕鬆查看用戶名和密碼以登錄到我的服務器。

感謝，

邁克

Answer 1

沒有辦法完全保證這一點。你可以做的最好的辦法是稍微隱藏它（也許是你在應用程序中解密的一個加密文件），然後監視服務器，看看是不是來自應用程序的流量。

如果您想偷偷加密身份驗證數據，然後使用某種速記 - 將憑證嵌入圖像中，或者甚至作爲看起來像別的東西（如SSH密鑰）的文件中的原始數據。

但是一個越獄開發者總是能夠掛鉤到你的應用程序中來查看解析結果，或者運行SSH代理來監視你發送的所有東西。

Answer 2

您不必「越獄」您的應用程序來閱讀網址。你的Mac上的一個簡單的數據包嗅探器軟件將做到這一點。通過Mac的Wifi路由所有iPhone流量並嗅探它。 但是，這裏的主要問題是，爲什麼？

如果你正在保護數據，你應該安全地做到這一點。如果您在某些plist中的應用程序中對用戶名/密碼進行了硬編碼，則某處出現問題。

檢查更新不必安全，其中真正的數據訪問應該是安全的。如果您正在下載In App Purchase的數據，請根據IAP收據進行驗證。如果您要爲擁有服務帳戶的用戶下載數據，那麼密碼顯然是由他輸入的，如果您使用適當的密碼方法，那麼不會由數據包嗅探器「嗅探」密碼。