इन-ऐप खरीदारी को हैक करने से सुरक्षा। भाग २

हाल ही में, मैंने अपने सर्वर पर खरीद के सत्यापन के साथ अपने आवेदन की सुरक्षा के तरीके के बारे में बात की। पोस्ट के प्रकाशन के कुछ दिनों बाद, इस तरह की सुरक्षा को दरकिनार करने के लिए सीखा गया था। लेकिन अच्छी खबर है, अब हम जानते हैं कि कमजोर बिंदु क्या थे, और हम इन बिंदुओं को मजबूत कर सकते हैं।

क्या बुरा था?

• SKTransaction में चेक और डेटा के अनुपालन के लिए पर्याप्त चेक नहीं थे।
• पर्याप्त सर्वर प्रतिसाद चेक नहीं थे।

ऐप्पल वेरिफिकेशनकंट्रोलर

मैं मानता हूं, जब मैंने अपनी पहली पोस्ट लिखी थी, तो मैंने Apple द्वारा प्रस्तावित सुरक्षा पद्धति के बारे में ठंडे शब्दों में बात की थी । जैसे, उनकी सुरक्षा कमजोर है, क्योंकि वे अभी भी अपने सर्वर पर जांच कर रहे हैं। इस प्रकार, यदि वे इस सर्वर को धोखा दे सकते हैं, तो उन सभी अनुप्रयोगों के लिए सुरक्षा को तोड़ दिया जाएगा जिन्होंने इसका उपयोग किया था। यह उचित लगता है, लेकिन यदि आप बारीकी से देखते हैं, तो इस तरह के परिदृश्य की संभावना इतनी महान नहीं है, क्योंकि वेरिफिकेशनकंट्रोलर न केवल सर्वर को अनुरोध भेज रहा है और परिणाम की जांच कर रहा है।

यहां वेरीफिकेशन कंट्रोलर में शामिल चेक दिए गए हैं:

• यह एप्लिकेशन में की गई सभी खरीदारी को सहेजता है और विशिष्टता के लिए जांचता है, ताकि समान अवशोषित खरीद के साथ एप्लिकेशन को धोखा देना अधिक कठिन हो।
• प्रमाण पत्र और खरीद डेटा के हस्ताक्षर की जांच करता है ताकि सर्वर से हमें प्राप्त रसीद पर सही हस्ताक्षर हो।
• SKPayment ऑब्जेक्ट में और खरीद रसीद में मेल खाने वाले फ़ील्ड के लिए चेक।
• Apple सर्वर पर खरीद रसीद की जाँच करता है, और जाँच के दौरान, SSL प्रमाणपत्र से विस्तारित जानकारी की जाँच करता है। अन्यथा, कनेक्शन स्थापित नहीं किया जाएगा।
• सत्यापन अनुरोध एक गुप्त कुंजी का उपयोग करता है जो अनुप्रयोग के लिए अद्वितीय है। शायद जल्द ही Apple अन्य अनुप्रयोगों की खरीद से प्राप्तियों के सत्यापन या सत्यापन पर रोक लगा देगा।
• प्रतिक्रिया में, सर्वर हमारे चेक के साथ क्षेत्रों के संयोग की जांच करता है ताकि अन्य लोगों के डेटा और स्थिति को वापस करना असंभव हो: 0।

Github में पहले से ही ValidationController-a: github.com/evands/iap_validation का थोड़ा डब संस्करण है। यह मानक एक से अलग है कि बेस 64 एन्कोडिंग-डिकोडिंग पहले से ही इसमें लागू है और सुविधाजनक प्रतिनिधि बनाए गए हैं जिसमें आप एक भुगतान किए गए फ़ंक्शन को सक्षम कर सकते हैं।

और क्या किया जा सकता है

यदि उपरोक्त आपको पर्याप्त नहीं लगता है और आप एप्लिकेशन की सुरक्षा के लिए अपना खुद का कुछ जोड़ना चाहते हैं, तो मैं इस विषय पर एक अच्छी पुस्तक की सिफारिश कर सकता हूं: हैकिंग और आईओएस एप्लीकेशन को सुरक्षित करना: डेटा चोरी करना, सॉफ्टवेयर का अपहरण करना, और इसे कैसे रोकें । हालांकि, दूर मत जाओ, आप मौजूदा सुरक्षा के लिए एक कमजोर लिंक जोड़ सकते हैं और इसे बदतर बना सकते हैं।

लड़ाई की जाँच

कुछ दिन पहले, स्टोर ने मेरे आवेदन का संस्करण 2.2.1 जारी किया और मेरे पास कुछ आंकड़े हैं। गैर-जेलब्रेक उपकरणों को हैक करने की वर्तमान विधियां जांच तक पहुंचती हैं कि चेक फ़ील्ड SKPayment फ़ील्ड के अनुरूप हैं और झुलसे हुए हैं, क्योंकि जाँच करें कि वे पूरी तरह से अलग खरीद से है। मेरे लिए एक सुखद आश्चर्य यह था कि जेलब्रेक उपकरणों के लिए भागने वाले भी खरीदारी नहीं कर सकते, इसके बजाय सत्यापन के समय एप्लिकेशन क्रैश हो जाता है। और इसका मतलब यह है कि जब सुरक्षा काम करती है, और अच्छी तरह से काम करती है, तो आइए देखें कि इसे तोड़ने में कितना समय लगता है। :)