Swift网络安全原理及实践,Swift+Alamofire验证证书防中间人攻击

分享到:  QQ好友和群QQ好友和群 QQ空间QQ空间 腾讯微博腾讯微博 腾讯朋友腾讯朋友 微信微信
查看查看275 回复回复1 收藏收藏 分享淘帖 转播转播 分享分享 微信
查看: 275|回复: 1
收起左侧

Swift网络安全原理及实践,Swift+Alamofire验证证书防中间人攻击

[复制链接]
Caesar 发表于 2016-7-4 14:32:36 | 显示全部楼层 |阅读模式
快来登录
获取最新的苹果动态资讯
收藏热门的iOS等技术干货
拷贝下载Swift Demo源代码
本帖最后由 Caesar 于 2016-7-4 14:42 编辑



1、原理部分


1.1、对称加密

存在一个对称密钥,信息用对称密钥加密,也用对称密钥解密。


1.2、非对称加密

存在一个公钥和一个私钥,可以公钥加密私钥解密,也可以私钥加密公钥解密。


1.3、哈希算法

客户端将传输的内容哈希,得到数字摘要,随内容一起发给服务器,服务器将得到的内容哈希,与收到的数字摘要比较,若相同,则内容完整无误。


1.4、HTTPS原理

HTTPS = HTTP + SSL

SSL协议规定了客户端与服务器之间如何安全保密的传输信息。

SSL协议中一般先用 非对称加密方式 传输 对称加密方式 的密钥,再用 对称加密方式 的密钥传输通讯内容。
(因为 对称加密方式 简单,快)

第一步:客户端申请建立SSL会话。
第二步:服务器把自己的证书(假定这个证书靠谱)发给客户端,里面有服务器的公钥。
第三步:客户端把 对称加密方式 的密钥(一般被叫做master_secret)用服务器的公钥加密,生成pre_master_secret,发回给服务器。
第四步:服务器用自己的私钥解密pre_master_secret,得到master_secret。
第五步及之后:客户端将通讯内容及其数字摘要用master_secret加密后发给服务器,服务器用master_secret解密,得到内容,顺便验证完整性。反之也成立。


1.5、Charles及Wireshark如何干掉HTTPS


1.5.1、Charles

简单的讲,中间人攻击。

在上面的第二步,客户端收到的不是服务器的证书,是Charles的,如果客户端信任了这个证书,就会把master_secret用Charles的公钥加密,所以Charles就知道了master_secret,自然能解密你们之后发送的内容。

防止方法:在客户端中存一份自己服务器的证书,第二步收到证书时进行比较。


1.5.2、Wireshark和Ethereal

你先把服务器的私钥告诉Wireshark

在上面第四步,Wireshark用服务器的私钥解密pre_master_secret,得到master_secret,也就可以解密你们之后发送的内容。

防止方法:保管好你服务器的私钥。

Swift网络安全原理及实践

Swift网络安全原理及实践,Swift+Alamofire验证证书防中间人攻击 - 敏捷大拇指 - Swift网络安全原理及实践





2、实践部分

HTTP是明文传输的,如果你不用HTTPS,也不自己加密,直接用HTTP传账号密码的话,那你就完蛋了。

iOS9默认禁止HTTP,如果你一定要用也可以,自行谷歌设置方法。

毫无疑问你应该用HTTPS,但上HTTPS了就绝对安全了么,不是,HTTPS防不住中间人攻击。

实践部分我准备讲一下Swift+Alamofire条件下怎么通过验证证书防止中间人攻击。这部分对应的原理就是上面的这句话:

在客户端中存一份自己服务器的证书,第二步收到证书时进行比较。

Alamofire封装的太好了,一般的请求只用这一句就好了:

[Swift] 纯文本查看 复制代码
Alamofire.request(.GET, "https://api.douban.com/v2/book/1220562")


如果你点request进去,就会发现,执行request的是Alamofire的sharedInstance。

不幸的是,修改这个sharedInstance的ServerTrustPolicy并不是一件容易的事,所以你得自己搞一个manager出来了。

希望你的架构里有网络层这个东西,也就是一个类似NetworkingManager的类,如果没有,希望你看一下我这篇文章,毕竟没单独的网络层不是件好事。

好,假设你有NetworkingManager这个类,这个类的结构就按我上面那篇文章来构造了(就是任性),这个类有一个单例,每个API对应一个实例方法。

[Swift] 纯文本查看 复制代码
var manager: Manager?


在NetworkingManager类里面定义这么个变量,Manager是Alamofire的管理类。

并增加一个这样的初始化方法,或者在初始化方法里面添加这样的内容:

[Swift] 纯文本查看 复制代码
init() {
        let serverTrustPolicy = ServerTrustPolicy.PinCertificates(
            certificates: ServerTrustPolicy.certificatesInBundle(),
            validateCertificateChain: true,
            validateHost: true
        )

        let serverTrustPolicies: [String : ServerTrustPolicy] = ["api.douban.com":serverTrustPolicy]

        manager = Manager(serverTrustPolicyManager: ServerTrustPolicyManager(policies: serverTrustPolicies))
    }


这里有个问题等下讲,先说它的意思:ServerTrustPolicy 是Alamofire里面负责管理服务器验证的一个类,提供了这么几种验证方法:

  • PerformDefaultEvaluation
    即默认,没试过所以不知道这个默认到底安不安全..
  • PinCertificates
    验证证书,即我使用的方法
  • PinPublicKeys
    验证公钥
  • DisableEvaluation
    不验证,心真大..
  • CustomEvaluation
    DIY验证,如果你够6可以选这个


certificatesInBundle即你放在Bundle里的证书,Alamofire把这个证书和前面第二步服务器传过来证书进行比对,如果不对拒绝通信,Charles之类的中间人攻击也就没可乘之机了。

如何把证书放进Bundle? 拖进去,注意选中copyIfNeeded 和 下面你的 Target。

如果想测试一下,哪里找证书?比如 https://api.douban.com/v2/book/1220562 这样的HTTPS网站,你用浏览器打开,地址栏左边都有个小锁,点进去,找找找,最后找到证书,拖到桌面上,后缀可能为.cer什么的。

你得到了一个serverTrustPolicy,也就是一个验证策略,在这里是用证书验证的策略。

Alamofire或者说iOS允许你对不同的host执行不同的验证策略,这个对应关系放在[String : ServerTrustPolicy]这样的一个字典里,左边是host(不是整个URL)右边是policy,也就是上面的serverTrustPolicies,你拿这个去生成ServerTrustPolicyManager,再利用Manager的初始化方法,为manager赋值。

怎么知道一个URL的host是哪一部分?有个好方法,开一个playground,用整个URL字符串做一个NSURL,然后取这个NSURL实例host,看右侧返回值。

然后你就有了一个配置好的安全的Manager实例。

为了测试,我在网络层管理类里面写了个test函数,里面用这个安全的manager去request:

[Swift] 纯文本查看 复制代码
func testSSL() {
    manager!.request(.GET, "https://api.douban.com/v2/book/1220562").responseJSON(options: .AllowFragments) { (response) in
        guard let json = response.result.value else {
            print("\(response.result.error)")
            return
        }
        print(json)
    }
}


然后在主VC里这么调用:

[Swift] 纯文本查看 复制代码
NetworkingManager.sharedInstance.testSSL()


你就会发现,只有当你证书配置正确了,你才能得到json,如果没放证书,或者没放对,就会输出错误。如果你证书没配对,也就是Alamofire觉得服务器给它的证书不对,就拒绝了与服务器的通讯。

上面提到有一个问题,就是为什么一定要在NetworkingManager这个类里面设一个manager变量,直接在testSSL里面定义,定义完了用不行么?答案是不行,你得一直持有它,一旦Alamofire去切线程去处理网络请求了,你定义的manager就会被释放了,manager一被释放,请求自然就被取消了,所以你也拿不到json。因为通常情况下用的是Alamofire.sharedInstance,它一直存在,所以一般感觉不到这个问题。




相关内容

Swift网络安全原理及实践,Swift+Alamofire验证证书防中间人攻击
浅谈Swift网络编程最佳实践
iOS应用架构谈 网络层设计方案




作者:我偏笑_NSNirvana
微博:@我偏笑_NSNirvana 欢迎私信。

都看到这里了,就把这篇资料推荐给您的好朋友吧,让他们也感受一下。

回帖是一种美德,也是对楼主发帖的尊重和支持。

*声明:敏捷大拇指是全球最大的Swift开发者社区、苹果粉丝家园、智能移动门户,所载内容仅限于传递更多最新信息,并不意味赞同其观点或证实其描述;内容仅供参考,并非绝对正确的建议。本站不对上述信息的真实性、合法性、完整性做出保证;转载请注明来源并加上本站链接,敏捷大拇指将保留所有法律权益。如有疑问或建议,邮件至marketing@swifthumb.com

*联系:微信公众平台:“swifthumb” / 腾讯微博:@swifthumb / 新浪微博:@swifthumb / 官方QQ一群:343549891(满) / 官方QQ二群:245285613 ,需要报上用户名才会被同意进群,请先注册敏捷大拇指

嗯,不错!期待更多好内容,支持一把:
支持敏捷大拇指,用支付宝支付10.24元 支持敏捷大拇指,用微信支付10.24元

评分

参与人数 1金钱 +10 贡献 +10 专家分 +10 收起 理由
Anewczs + 10 + 10 + 10 32个赞!专家给力!

查看全部评分

swifter 发表于 2016-7-5 00:34:30 | 显示全部楼层
8cuo~
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

做任务,领红包。
我要发帖

分享扩散

都看到这里了,就把这资料推荐给您的好朋友吧,让他们也感受一下。
您的每一位朋友访问此永久链接后,您都将获得相应的金钱积分奖励
热门推荐

合作伙伴

Swift小苹果

  • 北京治世天下科技有限公司
  • ©2014-2016 敏捷大拇指
  • 京ICP备14029482号
  • Powered by Discuz! X3.1 Licensed
  • swifthumb Wechat Code
  •   
快速回复 返回顶部 返回列表