Безопасность IOS-приложений (часть 6) – новые средства безопасности в IOS 7

Как все мы знаем, недавно компания Apple выпустила новую версию IOS с полностью измененным пользовательским интерфейсом. Презентация новой операционной системы состоялась на конференции WWDC 2013 (World Wide Developer Conference). Ниже приводится видео с этой презентации.

Автор: Пратик Джианчандани (Prateek Gianchandani)

Как все мы знаем, недавно компания Apple выпустила новую версию IOS с полностью измененным пользовательским интерфейсом. Презентация новой операционной системы состоялась на конференции WWDC 2013 (World Wide Developer Conference). 

Тематика этой статьи немного отклоняется от тем предыдущих статей. Здесь мы поговорим о новых средствах безопасности в новой операционной системе IOS 7.

Где достать IOS 7

Для того чтобы получить бета версию IOS 7, вы должны быть зарегистрированы на сайте http://developer.apple.com. Залогиньтесь на сайт, используя Apple ID, и пройдите по этому адресу. Затем кликните на вкладку IOS 7 SDK, и далее зайдите в раздел Downloads. Здесь вы можете загрузить последнюю версию IOS 7 beta.

Рисунок 1: Раздел сайта для разработчиков Apple, где можно загрузить последнюю версию IOS 7

В IOS 7 появились новые средства безопасности. Рассмотрим их.

Функция Activation Lock

Прежде, если пользователь терял свой iPhone, он мог использовать приложение «Find my Iphone» для того, чтобы отследить свой телефон при помощи GPS. Однако здесь все не так просто, поскольку даже самый неискушенный мошенник мог легко сбросить настройки телефона (возвратиться к заводским настройкам) и удалить все его содержимое. Теперь же с вводом функции Activation Lock злоумышленнику помимо Apple ID необходим еще и пароль, чтобы вернуть телефон к заводским настройкам.

Чтобы убедиться в этом, зайдите в раздел Settings, и далее в раздел General. Если вы прокрутите вниз, то увидите кнопку Reset.

Рисунок 2: Содержимое раздел General в настройках телефона

Если вы кликните на кнопку Reset, а затем на Erase All Contents and Settings, то увидите всплывающее окно с требованием ввести пароль, соответствующий вашему Apple ID.

Рисунок 3: Всплывающее окно с требованием ввести пароль для возврата к заводским настройкам

Функция Activation Lock очень полезна, однако появление средства ее обхода лишь вопрос времени. Подобное всплывающее окно с требованием ввести пароль появляется и тогда, когда вы зайдете в настройки iCloud и попытаетесь отключить функцию Find My iPhone.

Рисунок 4: Активированная функция Find My iPhone в настройках iCloud

Как видно из рисунка ниже, при попытке деактивировать функцию Find My iPhone появляется всплывающее окно с требованием ввести пароль.

Рисунок 5: При попытке деактивировать функцию Find My iPhone появляется всплывающее окно с требованием ввести пароль

Передача зашифрованных данных при помощи Airdrop

Технология Airdrop, появившаяся в IOS 7, позволяет расшаривать файлы в один клик. Хорошая новость в том, что файлы шифруются. По умолчанию файлы делаются общедоступными только для контактов, однако можно изменить соответствующие настройки.

Рисунок 6: Настройка Airdrop (отключено, только для контактов, для всех)

Защита данных в сторонних приложениях

Защита данных доступна для тех устройств, которые поддерживают аппаратное шифрование (то есть устройств, начиная с Iphone 3G и далее). Выдержка с сайта Apple…

Защита данных усиливает встроенное аппаратное шифрование посредством защиты аппаратных ключей шифрования при помощи пароля и является дополнительным уровнем защиты электронных писем и вложений. Сторонние приложения могут использовать API для защиты данных в iOS 4 и более поздних версиях для защиты информации в приложениях.

До 6-й версии IOS, если вы зайдете в раздел Settings -> General -> Passcode и установите пароль, то внизу увидите сообщение Data Protection is Enabled. По умолчанию защита данных добавлена в IOS 6.

Рисунок 7: Установка защиты данных

Ранее разработчики должны были использовать API для защиты данных в своих приложениях. В IOS 7 защита данных в сторонних приложениях стала доступна автоматически. Это означает, что информация в приложениях защищена до тех пор, пока пользователь не разблокирует устройство. Как мы знаем, по умолчанию Apple разрешает использовать пароль для защиты данных из четырех цифр. Такой пароль легко подобрать брутфорсом. Следовательно, для лучшей защиты необходимо использовать более стойкие пароли.

Улучшения безопасности в Game Center

Если вы регулярно играете в игры на IOS и регулярно пользуетесь Game Center для соревнований с друзьями или играете в одиночку, возможно, вы заметили аномально высокие результаты в некоторых играх. Обычно подобные результаты достигнуты нечестно путем использования брешей и изменения переменных во время выполнения приложения. В IOS 7 у разработчиков появились новые возможности для защиты от накрутки результатов игры. Теперь разработчик может установить максимальное количество баллов для каждой игры, и люди, добившиеся аномально высоких результатов не будут показаны в таблице лидеров, однако все равно будут присутствовать на сервере. Впоследствии разработчики, если захотят, могут отобразить эти результаты в таблице. Также компания Apple добавила новые инструменты, позволяющие отслеживать подозрительную деятельность и блокировать соответствующих пользователей. Кроме того, Apple интегрировала в Game Center подписанные представления (signed submissions), что позволяет отклонять подозрительные результаты. Хотя, не совсем понятно, как это делается.

iCloud Keychain

Большинство из нас почти наверняка используют автозаполнение в Safari. В IOS 7 Safari запоминает намного больше информации (имена пользователей, пароли, номера кредитных карт и т. д.), сохраняет ее при помощи keychain, а затем автоматически достает эти данные и подставляет в формы. Вся информация шифруется посредством 256-битного алгоритма AES. Хранилище keychain может автоматически синхронизироваться через iCloud. Возможно, процедура создания и запоминание нового пароля для каждого нового сайта может раздражать вас. Однако теперь в Safari есть встроенный генератор паролей, который создает уникальный пароль для каждого нового вебсайта и запоминает его автоматически, тем самым освобождая вас от необходимости запоминать новый пароль.

Свой VPN-сервис для каждого приложения

Иногда есть необходимость доступа к конфиденциальным данным через безопасный канал. В этом случае используется VPN. В IOS 7 пользователи могут использовать различные VPN-сервисы для разных приложений. Это действительно полезно, когда, например, вы хотите работать с информацией компании через служебный VPN, а для других приложений использовать другой VPN-сервис. Подобная функция будет также полезна для сотрудников государственных учреждений, которые хотят работать с конфиденциальной информацией при помощи мобильных приложений.

Если вы разрабатываете приложения для IOS и хотите узнать больше информации о новых нововведениях в IOS 7, вы можете посмотреть видео с конференции WWDC 2013, находящиеся по адресу https://developer.apple.com/wwdc/videos/.

http://www.securitylab.ru/analytics/447597.php