Day-314-iOS 安全架构

# Day 331: iOS 安全架构 - 沙盒/代码签名/数据保护/Secure Enclave

> 移动安全系列第 11 天 | 预计阅读时间：40 分钟 | 难度：★★★★☆

---

## 清单 目录

1. [iOS 安全概述](#ios-安全概述)
2. [安全启动链](#安全启动链)
3. [代码签名机制](#代码签名机制)
4. [沙盒机制](#沙盒机制)
5. [数据保护](#数据保护)
6. [Secure Enclave](#secure-enclave)
7. [总结与思考](#总结与思考)
8. [参考资料](#参考资料)

---

## iOS 安全概述

### 安全架构

**硬件安全**：
```
Secure Enclave:
- 独立协处理器
- 加密密钥保护
- 生物识别处理

Hardware AES:
- 硬件加密引擎
- 高性能加密
- 密钥派生

UID 熔断器:
- 设备唯一密钥
- 硬件级保护
- 不可读取
```

**系统安全**：
```
安全启动:
- 硬件信任根
- 逐级验证
- 防降级保护

代码签名:
- 强制签名
- 运行时验证
- 完整性保护

沙盒机制:
- 应用隔离
- 资源限制
- 权限控制
```

### 安全特性

**默认安全**：
```
- ASLR 地址随机化
- DEP 数据执行保护
- 栈保护
- 指针认证
```

**运行时保护**：
```
- 内存保护
- 控制流完整性
- 系统调用过滤
- 权限检查
```

---

## 安全启动链

### 启动流程

**信任根**：
```
Boot ROM:
- 硬件固化
- Apple 签名验证
- 不可修改

LLB (Low-Level Bootloader):
- Boot ROM 验证
- iBoot 验证
- 启动参数验证
```

**启动验证**：
```
iBoot:
- LLB 验证
- Kernel 验证
- 启动选项验证

Kernel:
- iBoot 验证
- System 验证
- 安全服务启动

iOS:
- Kernel 验证
- 应用签名验证
- 完整系统启动
```

### 启动状态

**启动模式**：
```
正常启动:
- 完整验证链
- 所有安全检查
- 标准功能

恢复模式:
- iTunes 恢复
- 固件更新
- 数据保留

DFU 模式:
- 深度恢复
- 完全刷机
- 数据清除
```

---

## 代码签名机制

### 签名验证

**签名类型**：
```
App Store 签名:
- Apple 签名
- 严格审核
- 自动更新

企业签名:
- 企业内部
- 无需审核
- 分发限制

开发签名:
- 开发测试
- 设备限制
- 有效期短

Ad Hoc 签名:
- 有限分发
- UDID 绑定
- 有效期 1 年
```

**验证流程**：
```
安装时:
1. 验证签名证书
2. 验证描述文件
3. 验证设备权限
4. 安装应用

运行时:
1. 验证代码完整性
2. 验证签名有效性
3. 检查证书状态
4. 执行代码
```

### 越狱检测

**越狱特征**：
```
文件系统:
- /Applications/Cydia.app
- /Library/MobileSubstrate
- /var/lib/cydia

进程:
- MobileSubstrate
- cydia
- sshtunnel

系统调用:
- fork() 可用
- 写入系统目录
- 加载动态库
```

**检测代码**：
```swift
class JailbreakDetector {
    
    static func isJailbroken() -> Bool {
        // 检查文件
        let paths = [
            "/Applications/Cydia.app",
            "/Library/MobileSubstrate/MobileSubstrate.dylib",
            "/bin/bash",
            "/usr/sbin/sshd"
        ]
        
        for path in paths {
            if FileManager.default.fileExists(atPath: path) {
                return true
            }
        }
        
        // 检查 fork
        let pid = fork()
        if pid == 0 {
            exit(0)
        } else if pid > 0 {
            return true
        }
        
        // 检查目录写入
        let testPath = "/private/jailbreak_test"
        do {
            try "test".write(toFile: testPath, 
                           atomically: true, 
                           encoding: .utf8)
            try FileManager.default.removeItem(atPath: testPath)
            return true
        } catch {
        }
        
        return false
    }
}
```

---

## 沙盒机制

### 沙盒隔离

**文件系统**：
```
应用目录:
- Bundle: /var/containers/Bundle/Application/
- Documents: 用户数据
- Library: 应用数据
- tmp: 临时文件

访问限制:
- 仅访问自己目录
- 需要权限访问共享
- 系统目录禁止访问
```

**网络隔离**：
```
网络访问:
- 需要用户同意
- ATS 安全传输
- 证书验证

本地网络:
- 需要 entitlement
- 用户授权
- 功能限制
```

### 权限控制

**Entitlements**：
```xml

<key>com.apple.developer.healthkit</key>
<true/>

<key>com.apple.developer.homekit</key>
<true/>

<key>com.apple.developer.networking.networkextension</key>
<array>
    <string>dns-proxy</string>
    <string>app-proxy-provider</string>
</array>
```

**权限检查**：
```swift
// 检查健康数据权限
func checkHealthKitAuthorization() {
    if HKHealthStore.isHealthDataAvailable() {
        let healthStore = HKHealthStore()
        
        let types: Set<HKObjectType> = [
            HKObjectType.quantityType(forIdentifier: .stepCount)!,
            HKObjectType.quantityType(forIdentifier: .heartRate)!
        ]
        
        healthStore.requestAuthorization(toShare: types, read: types) { success, error in
            if success {
                // 已授权
            }
        }
    }
}
```

---

## 数据保护

### 数据保护类

**保护级别**：
```
NSFileProtectionComplete:
- 设备锁定后不可访问
- 最高安全级别
- 适合敏感数据

NSFileProtectionCompleteUnlessOpen:
- 打开后可访问
- 锁定时保持打开
- 适合后台任务

NSFileProtectionCompleteUntilFirstUserAuthentication:
- 首次解锁后可访问
- 重启后保护
- 适合常用数据

NSFileProtectionNone:
- 无保护
- 始终可访问
- 适合公开数据
```

**使用示例**：
```swift
// 写入保护文件
func writeProtectedFile() {
    let fileManager = FileManager.default
    let url = documentsDirectory.appendingPathComponent("sensitive.dat")
    
    let data = "Sensitive Data".data(using: .utf8)!
    
    try? data.write(to: url, 
                   options: .completeFileProtection)
}

// 读取保护文件
func readProtectedFile() -> String? {
    let url = documentsDirectory.appendingPathComponent("sensitive.dat")
    
    guard let data = try? Data(contentsOf: url, 
                              options: .completeFileProtection) else {
        return nil
    }
    
    return String(data: data, encoding: .utf8)
}
```

### 钥匙串

**钥匙串使用**：
```swift
import Security

class KeychainManager {
    
    // 保存数据
    func save(key: String, data: Data) -> OSStatus {
        let query: [String: Any] = [
            kSecClass as String: kSecClassGenericPassword,
            kSecAttrAccount as String: key,
            kSecValueData as String: data,
            kSecAttrAccessible as String: kSecAttrAccessibleWhenUnlocked
        ]
        
        SecItemDelete(query as CFDictionary)
        return SecItemAdd(query as CFDictionary, nil)
    }
    
    // 读取数据
    func load(key: String) -> Data? {
        let query: [String: Any] = [
            kSecClass as String: kSecClassGenericPassword,
            kSecAttrAccount as String: key,
            kSecReturnData as String: true,
            kSecMatchLimit as String: kSecMatchLimitOne
        ]
        
        var result: AnyObject?
        let status = SecItemCopyMatching(query as CFDictionary, &result)
        
        if status == errSecSuccess {
            return result as? Data
        }
        
        return nil
    }
    
    // 删除数据
    func delete(key: String) -> OSStatus {
        let query: [String: Any] = [
            kSecClass as String: kSecClassGenericPassword,
            kSecAttrAccount as String: key
        ]
        
        return SecItemDelete(query as CFDictionary)
    }
}
```

---

## Secure Enclave

### 硬件安全

**Secure Enclave**：
```
功能:
- 密钥生成
- 加密解密
- 签名验证
- 生物识别

安全特性:
- 独立处理器
- 独立内存
- 加密通信
- 防物理攻击
```

**密钥管理**：
```
密钥类型:
- UID: 设备唯一
- GID: 设备组
- 应用密钥
- 用户密钥

密钥保护:
- 硬件存储
- 不可导出
- 使用认证
- 防暴力破解
```

### 生物识别

**Touch ID**：
```
使用场景:
- 设备解锁
- Apple Pay
- 应用认证
- 钥匙串访问

安全存储:
- Secure Enclave
- 不存储指纹图像
- 仅存储特征值
```

**Face ID**：
```
使用场景:
- 设备解锁
- Apple Pay
- 应用认证
- 密码填充

安全特性:
- 3D 结构光
- 注意力检测
- 防照片攻击
- Secure Enclave 存储
```

**认证代码**：
```swift
import LocalAuthentication

class BiometricAuth {
    
    func authenticateWithBiometrics(completion: @escaping (Bool, Error?) -> Void) {
        let context = LAContext()
        var error: NSError?
        
        if context.canEvaluatePolicy(.deviceOwnerAuthenticationWithBiometrics, error: &error) {
            let reason = "需要验证您的身份"
            
            context.evaluatePolicy(.deviceOwnerAuthenticationWithBiometrics, 
                                  localizedReason: reason) { success, error in
                DispatchQueue.main.async {
                    completion(success, error)
                }
            }
        } else {
            completion(false, error)
        }
    }
}
```

---

## 总结与思考

### 核心要点回顾

1. **安全启动**：Boot ROM、LLB、iBoot、Kernel 逐级验证
2. **代码签名**：签名类型、验证流程、越狱检测
3. **沙盒机制**：文件隔离、网络隔离、权限控制
4. **数据保护**：保护级别、钥匙串管理
5. **Secure Enclave**：硬件安全、密钥管理、生物识别

### 深入思考

**安全优势**：
- 硬件级保护
- 系统完整性
- 应用沙盒
- 隐私保护

**安全挑战**：
- 越狱风险
- 企业证书滥用
- 钓鱼攻击
- 社会工程

### 最佳实践

**开发者**：
- 启用 ATS
- 使用钥匙串
- 数据加密
- 越狱检测

**用户**：
- 保持更新
- 仅 App Store
- 启用生物识别
- 警惕钓鱼

---

## 参考资料

### 学习资源

- **iOS Security Guide**: https://www.apple.com/business/docs/iOS_Security_Guide.pdf
- **Apple Developer Security**: https://developer.apple.com/security/
- **OWASP iOS Security**: https://owasp.org/www-project-mobile-security/

### 工具资源

- **Xcode**: https://developer.apple.com/xcode/
- **Frida**: https://frida.re
- **Objection**: https://github.com/sensepost/objection

---

*Day 331 完成 | iOS 安全架构详解 | 字数：约 15,000 字*