Насколько безопасен бинарный файл Apple (секретный ключ безопасности) - PullRequest
5 голосов
/ 31 мая 2011

Я разрабатываю приложение для iPhone, которое использует HTTP-запрос для получения данных о котировках с веб-сервера.

Я работаю с другим разработчиком, который управляет веб-сервисом.Мы используем шифрование MD5 (простой xor) для передачи данных между iPhone и веб-сервером.

Сегодня утром он задал мне вопрос, который, откровенно говоря, вышел из моего круга знаний.

'Насколько безопасен двоичный файл apple?'

Он беспокоится о том, сможет ли кто-нибудь получить пакет .app через iTunes, а затем декодировать этот пакет и получить прямой доступ к моему исходному коду, что позволит им получить секретный ключ.мы используем для кодирования данных.

Я лично, даже не знаю, с чего начать, но я уверен, что есть более знающие / хитрые ребята.

Итак,Возможно?если это так, что я могу сделать, чтобы попытаться защитить мой источник?

1 Ответ

8 голосов
/ 31 мая 2011

Двоичный файл даже удаленно не безопасен.Будь то загрузка через iTunes или на взломанном iPhone, вы ничего не можете сделать, кроме запутывания, которое всегда преодолеет решительный противник.Никогда не полагайтесь на «секретность» чего-либо, встроенного в клиентское приложение, это не секрет.Когда-либо.На любой платформе, на любом языке, с любой техникой.

Если вам нужно ограничить доступ к вашей системе, вам нужны учетные записи для каждого пользователя.Нет другого безопасного механизма.Apple действительно предоставляет способы «аутентификации» пользователей через их учетные записи iTunes, вы можете захотеть изучить это.

Кроме того, «шифрование MD5» ничего не значит.MD5 - это хэш-функция для криптографических приложений, но говорить, что вы делаете «шифрование MD5» и «простой XOR», просто бессмысленно.Я могу использовать XOR и MD5 для выполнения любого количества вещей, и лишь немногие из них будут служить полезной схемой шифрования и не будут иметь никаких преимуществ по сравнению с реальным алгоритмом, разработанным экспертами, такими как AES.

Использование HTTPS(HTTP через SSL).Нет причин не делать этого, iPhone полностью поддерживает это.Если вам нужно, вы можете получить бесплатные сертификаты SSL для вашего сервера по крайней мере от http://www.startssl.com/.В наши дни также существует множество дешевых поставщиков SSL-сертификатов.Google немного.

Я бы настоятельно рекомендовал вам и вашему со-разработчику начать изучение информационной безопасности, как в теории, так и на практике, потому что, похоже, у вас очень мало оснований в этой теме, и, возможно, несколько значительныхзаблуждения, которые приведут к легко сломанным системам.

Добро пожаловать на сайт PullRequest, где вы можете задавать вопросы и получать ответы от других членов сообщества.
...