iOS 签名机制与证书

iOS 签名机制与证书iOS 签名机制与证书 声明 纯粹就是总结,很多地方跟参考资料一样,就是自己手动打一遍,自己亲自画个图增加理解和加强记忆力,而不只是复制粘贴 iOS 打包流程也不在此叙述,相信很多人已经对照过各种图文

大家好,又见面了,我是你们的朋友全栈君。

iOS 签名机制与证书

声明

纯粹就是总结,很多地方跟参考资料一样,就是自己手动打一遍,自己亲自画个图增加理解和加强记忆力,而不只是复制粘贴

iOS 打包流程也不在此叙述,相信很多人已经对照过各种图文并茂的文章一一操作过

数字签名

非对称加密

即加密密钥与解密密钥不同,且成对出现
对外公开的称为公钥,这对密钥生成者才拥有的称为私钥
通过私钥加密的密文只能通过公钥解密,反之亦然

例如,RSA算法,非对称加密加解密比较耗时,实际使用中,往往与对称加密和摘要算法结合使用

经典用法

  • 防止中间攻击:接收方将公钥公布-》发送方通过该公钥将明文加密-》传输给接收方-》接收方使用私钥解密,通常用于交换对称密钥(由于非接收方无私钥,无法截获)

  • 身份验证和防止篡改:私钥加密授权明文-》将明文+加密后的密文+公钥一并发送给接收方-》接收方用公钥解密密文,再与明文对比是否一致,以此判断是否被篡改,用于数字签名

摘要算法

将任意长度文本通过一个算法得到一个固定长度的文本。
源文本不同,计算结果必然不同
无法从结果反推源

例如,MD5和SHA算法

数字签名

非对称加密与摘要算法的结合
结合摘要算法是因为非对称加密的原理限制可加密的内容不能太大

数字签名验证过程

情景:有一段授权文本,需要发布,要防止中途篡改内容,保证完整性与合法性

发送方:
1. 授权文本-》摘要算法-》得到摘要
2. 私钥加密摘要得到密文
3. 将源授权文本+密文+公钥一并发布

验证方:
1. 用公钥解密密文得到摘要a
2. 将源授权文本-》摘要算法-》得到摘要b
3. 对比摘要a与摘要b是否一致

签名机制与验证

最简单的签名(App Store 下载的签名机制)

当App 提交审核通过后,Apple会对App重签名,所以从App Store下载的app都是苹果的官方签名

App Store 下载的签名机制与验证

流程如下:

  1. Apple 官方有自己固定的一对公钥和私钥,私钥A存在Apple后台,公钥A存在iOS设备

  2. app审核通过后,Apple后台用私钥A对其进行重签名

  3. app下载到iOS设备后,iOS设备内置的公钥A会对app的签名进行验证
  4. 如果验证通过,则可运行,否则不能

当然除了这个方式,还有一下三种方式安装一个app:
1. 开发时,直接通过USB将应用安装到手机进行调试;
2. In-House 企业内部分发,可直接安装企业证书签名的App;
3. Ad-Hoc 相当于企业分发的限制版,限制安装设备数量。

双层签名

对与开发调试安装app时,有两个需求:
1. 安装包无需上传到Apple服务器;
2. 必须经过Apple允许,且不能被滥用导致非开发app也能被安装

双层签名

流程如下:

  1. 在Mac上生成一对公私钥,分别为公钥L,私钥L

  2. Apple 官方有自己固定的一对公钥和私钥,私钥A存在Apple后台,公钥A内置在iOS设备

  3. 把公钥L 上传Apple后台,Apple后台用私钥A对公钥L进行签名,将得到的签名+公钥L打包起来,称为证书
  4. 开发时,编译完一个app后,用本地私钥L对app进行签名,然后把3中的证书、app和app签名一起打包安装到手机上。
  5. iOS设备内置的公钥A对证书中签名进行验证
  6. 如果5中验证通过,再用证书中的公钥L对app签名进行验证,从而间接保证app安装是官方允许的

双层签名+限制

上述流程只解决了需要Apple允许才能安装,但还未解决避免被滥用的问题。
在此,苹果加了两个限制,1.限制设备,2.限制签名只针对某一具体app。

双层签名+限制

流程基本如上,只是添加了设备IDs和AppID:

第三步:把公钥L 上传Apple后台,Apple后台用私钥A对(公钥L+设备IDs+AppID)进行签名,将得到的签名+公钥L打包起来,成为证书

第五步:iOS设备内置的公钥A对证书中签名进行验证,同时将设备IDs判断当前设备是否符合要求,AppID验证App是否一致

开发者证书签名到认证最终流程

上述证书有很多额外信息,实际上出了 设备IDs/AppID,还是其他信息,比如iCloud/Push/后台运行等权限,这些权限开关统称为 Entitlements,它也需要通过签名去授权,这些额外信息都塞在证书里是不合适的,所以就有一个叫 Provisioning Profile 的东西。

  • Provisioning Profile = 证书 + 上述额外信息 + 所有信息的签名
    最终流程

最终流程如下:

  1. 在Mac上生成一对公私钥,分别为公钥L,私钥L

  2. Apple 官方有自己固定的一对公钥和私钥,私钥A存在Apple后台,公钥A内置在iOS设备

  3. 把公钥L 上传Apple后台,Apple后台用私钥A对公钥L进行签名,将得到的签名+公钥L打包起来,称为证书
  4. 在苹果后台申请AppID,配置好设备IDs, Entitlements,这些额外信息+3中的证书组成的数据用私钥A签名,最后证书+额外信息+签名组成 Provisioning Profile 文件,下载到Mac本地
  5. 开发时,编译完一个app后,用本地私钥L对app进行签名,然后把4中的Provisioning Profile文件打包进App里,文件名为embedded.mobileprovision,安装到手机上。
  6. 安装时,iOS设备内置的公钥A对embedded.mobileprovision的数字签名进行验证,同时对里面的证书的签名也会验证
  7. 如果6中验证通过,确保了embedded.mobileprovision的数据是苹果授权后,再取出里面数据做各种验证,包括公钥L对app签名进行验证,验证设备ID,AppID,权限开关

概念与操作

上述步骤与平常具体操作与概念如下:

  1. KeyChain 里的“从证书颁发机构请求证书”,本地生成一对公私钥,保存的CertificateSigningRequest(CSR)即公钥L,私钥L保存在电脑本地

  2. 苹果处理

  3. 在Member Center把CertificateSigningRequest上传到苹果后台生成证书,下载到本地(因为私钥是本地Mac持有,所以团队开发时,可在KeyChain导出私钥,存为.p12文件,其他Mac即可导入这个私钥)
  4. 在Member Center配置AppID/设备UUID/Entitlements, 生成对应的 Provisioning Profile 文件,并下载到本地
  5. 打包编译时,Xcode会根据3中的证书,用对应该证书的本地私钥L对app进行签名,并把4中的 Provisioning Profile 文件命名为 embedded.mobileprovision 一起打包进去。这里对App的签名数据分两部分,Mach-O 可执行文件把签名直接写进这个文件,其他资源文件则保存在_CodeSignature目录下

  6. 6到7的打包验证是Xcode和iOS的事

其他发布方式(In-House和Ad-Hoc)流程与开发包签名验证流程差不多,In-House不限制安装的设备数

参考

iOS App 签名的原理 (表白这个作者,写得太好,循序渐进 )

漫谈iOS程序的证书和签名机制

iOS开发者证书以及代码签名学习笔记

版权声明:本文内容由互联网用户自发贡献,该文观点仅代表作者本人。本站仅提供信息存储空间服务,不拥有所有权,不承担相关法律责任。如发现本站有涉嫌侵权/违法违规的内容, 请发送邮件至 举报,一经查实,本站将立刻删除。

发布者:全栈程序员-用户IM,转载请注明出处:https://javaforall.cn/142735.html原文链接:https://javaforall.cn

【正版授权,激活自己账号】: Jetbrains全家桶Ide使用,1年售后保障,每天仅需1毛

【官方授权 正版激活】: 官方授权 正版激活 支持Jetbrains家族下所有IDE 使用个人JB账号...

(0)
blank

相关推荐

  • app真机测试平台_最新app都是在哪里发布的

    app真机测试平台_最新app都是在哪里发布的1、真机测试http://my.oschina.net/joanfen/blog/1677302、发布http://my.oschina.net/joanfen/blog/133642

  • 用树莓派做一个人脸识别开锁应用「建议收藏」

    用树莓派做一个人脸识别开锁应用「建议收藏」作者:eckygao,腾讯CSIG云产品部1.案例概述1.1背景实现一个人脸识别进行开锁的功能,用在他的真人实景游戏业务中。总的来说,需求描述简单,但由于约束比较多,在架构与选型上…

  • linux必须运行在enforcing,Linux(入门基础):97—SELinux三种模式的启动、关闭、查看(getenforce、setenforce、sestatus、restorecon)…

    linux必须运行在enforcing,Linux(入门基础):97—SELinux三种模式的启动、关闭、查看(getenforce、setenforce、sestatus、restorecon)…一、SELinux三种模式简介Enforcing:强制模式。代表SELinux在运行中,且已经开始限制domain/type之间的验证关系Permissive:宽容模式。代表SELinux在运行中,不过不会限制domain/type之间的验证关系,即使验证不正确,进程仍可以对文件进行操作。不过如果验证不正确会发出警告Disabled:关闭模式。SELinux并没有实际运行二、getenforce命…

  • 进程和线程的主要区别(总结)

    进程和线程的主要区别(总结)根本区别:进程是操作系统资源分配的基本单位,而线程是任务调度和执行的基本单位在开销方面:每个进程都有独立的代码和数据空间(程序上下文),程序之间的切换会有较大的开销;线程可以看做轻量级的进程,同一类线程共享代码和数据空间,每个线程都有自己独立的运行栈和程序计数器(PC),线程之间切换的开销小。所处环境:在操作系统中能同时运行多个进程(程序);而在同一个进程(程序)中有多个线程同时执行(通过CPU调…

  • 适配器及其作用[通俗易懂]

    适配器及其作用[通俗易懂]1.适配器适配器是一个接口转换器,它可以是一个独立的硬件接口设备,允许硬件或电子接口与其它硬件或电子接口相连,也可以是信息接口。但是现在的计算机主板上就已经嵌入了适配器,因此现在的计算机上的适配器不是独立的。2.适配器的作用1.要进行数据串行传输和并行传输的转换。2.对数据进行缓存。3.实现以太网协议。4.管理该适配器的设备驱动程序安装在计算机的操作系统。…

  • JMeter参数化4种实现方式「建议收藏」

    JMeter参数化4种实现方式「建议收藏」前言下面是目前JMeter系列已有博文列表,持续更新中:JMeter安装与接口测试入门JMeter接口测试之断言实现JMeter逻辑控制器JMeter配置元件JMeter操作Mysql数据库BeanShellSampler与BeanShell断言JMeterLinux下执行测试JMeter自定义日志与日志分析1参数化释义什么是参数化?从字面上去理解的话,就是事先准备好数据(广义上来说,可以是具体的数据值,也可以是数据生成规则),而非在脚本中写死,脚本执行时从准备好的数据中

发表回复

您的电子邮箱地址不会被公开。

关注全栈程序员社区公众号