上架Appstore背后的故事

前言

眾說(shuō)周知，iOS系統(tǒng)對(duì)第三方APP擁有很強(qiáng)力的控制權(quán)，有別于安卓系統(tǒng)上可以從任意地方下載，蘋(píng)果保證了每一個(gè)安裝在iOS系統(tǒng)中的APP都是經(jīng)過(guò)官方認(rèn)證的。那么在這表層現(xiàn)象的背后，引發(fā)我們的思考，蘋(píng)果是如何保證認(rèn)證。

準(zhǔn)備知識(shí)：非對(duì)稱加密

一、理論

首先說(shuō)到非對(duì)稱加密，大家都熟知一個(gè)算法，RSA（又三位數(shù)學(xué)家名字首字母構(gòu)成），這個(gè)算法中包含很多數(shù)學(xué)公式和理論證明，這里就不做深究。我們來(lái)簡(jiǎn)單地理解下非對(duì)稱加密的思想。

先來(lái)看看對(duì)稱加密的過(guò)程，對(duì)稱加密的雙方都保持相同的加密密鑰和解密密鑰，數(shù)據(jù)經(jīng)過(guò)加密密鑰加密之后再網(wǎng)絡(luò)中傳輸，對(duì)稱加密最大的問(wèn)題就是解密秘鑰的如何安全傳輸。

再來(lái)看看非對(duì)稱加密，非對(duì)稱加密有兩個(gè)密鑰，公鑰和私鑰，公鑰公開(kāi)，私鑰私有。

二、非對(duì)稱加密的例子

加密：

A想要傳輸信息給B，那么B首先生成公鑰和私鑰，公鑰發(fā)送給A，私鑰保留，A收到B的公鑰之后，將信息利用公鑰加密，然后傳輸給B，B通過(guò)私鑰解密。

防止篡改：

B想要給A發(fā)送一個(gè)證明，那么B首先生成公鑰和私鑰，利用私鑰加密證明生成加密文件，然后將證明和加密文件以及公鑰一同發(fā)送給A，A收到之后，利用公鑰將加密文件解密，然后對(duì)比證明，如果相同，則可以認(rèn)為證明沒(méi)有被篡改過(guò)。

蘋(píng)果的數(shù)字簽名

蘋(píng)果生成了一對(duì)密鑰，公鑰安裝在每臺(tái)iOS設(shè)備上，私鑰保存在蘋(píng)果后臺(tái)服務(wù)器中，當(dāng)APP上架到Appstore的時(shí)候，蘋(píng)果后臺(tái)用私鑰對(duì)App進(jìn)行簽名（加密），當(dāng)用戶使用iOS設(shè)備下載App時(shí)，利用設(shè)備中的公鑰驗(yàn)證簽名，如果簽名正確，那么可以認(rèn)為該App是被官方認(rèn)證的，同時(shí)也沒(méi)有被修改過(guò)。

上面的邏輯很通俗易懂，當(dāng)然，這只是最簡(jiǎn)單的邏輯?？紤]到很多實(shí)際情況，蘋(píng)果制定了更為復(fù)雜的簽名機(jī)制。

實(shí)際情況

開(kāi)發(fā)者可以直接把開(kāi)發(fā)中的應(yīng)用安裝進(jìn)手機(jī)進(jìn)行調(diào)試

更復(fù)雜的簽名機(jī)制

一、簽名

首先在Mac機(jī)器中生成一對(duì)公鑰和私鑰，這里標(biāo)記為公鑰M，私鑰M（M：Mac）

同樣蘋(píng)果仍然持有一對(duì)密鑰，公鑰放在iOS設(shè)備上，私鑰放在后臺(tái)服務(wù)器，這里標(biāo)記為公鑰A，私鑰A（A：Apple）

簽名：

1.將公鑰M上傳到后臺(tái)服務(wù)器，通過(guò)私鑰A進(jìn)行簽名，然后返回簽名和公鑰M，將其稱為證書(shū)

2.用私鑰M對(duì)App簽名

將以上兩者內(nèi)容打包，安裝在手機(jī)上

二、驗(yàn)證

首先利用設(shè)備中的公鑰A對(duì)證書(shū)中的簽名進(jìn)行驗(yàn)證，確保公鑰M是是認(rèn)證過(guò)的

然后利用公鑰鑰M對(duì)App簽名進(jìn)行驗(yàn)證，確保App是認(rèn)證過(guò)的

更完善的策略設(shè)計(jì)

以上是簽名的大致過(guò)程，但是蘋(píng)果還加了兩個(gè)限制：

1.只有在后臺(tái)注冊(cè)過(guò)的設(shè)備才能安裝

2.簽名機(jī)制應(yīng)該針對(duì)具體的某一App

完善的簽名機(jī)制

做一些小調(diào)整

在簽名過(guò)程中，原來(lái)只講私鑰M上傳后臺(tái)服務(wù)器，現(xiàn)在需要將設(shè)備的IDs和AppID以及Entitlements（權(quán)限開(kāi)關(guān)）也傳入到后臺(tái)服務(wù)器

先利用私鑰A簽名得到證書(shū)，然后將證書(shū)和添加的信息打包后再用私鑰簽名（由一次簽名變成兩次簽名，驗(yàn)證也從一次變成兩次）

在驗(yàn)證過(guò)程中，添加了兩項(xiàng)驗(yàn)證：

1.用設(shè)備IDs驗(yàn)證iOS設(shè)備是否屬于注冊(cè)的設(shè)備范圍

2.用AppID驗(yàn)證App的ID是否對(duì)應(yīng)

概念與實(shí)際操作對(duì)應(yīng)

一、簽名

在keychain中選擇“從證書(shū)頒發(fā)機(jī)構(gòu)請(qǐng)求證書(shū)”，可以在本地生成一對(duì)公鑰私鑰，私鑰保存在電腦中，公鑰為生成的CertificateSigningRequest

iOS系統(tǒng)中保存一個(gè)公鑰，蘋(píng)果后臺(tái)保存一個(gè)私鑰

簽名：

1.將CertificateSigningRequest上傳到服務(wù)器進(jìn)行證書(shū)的申請(qǐng)，然后在網(wǎng)頁(yè)上設(shè)置設(shè)備的IDs、AppID和Entitlements，配置完成后即可下載Provisioning Profile文件（該文件中包含證書(shū)、設(shè)備IDs、AppID、Entitlements）

2.Xcode通過(guò)Provisioning Profile中的本地公鑰可以找到對(duì)應(yīng)的私鑰（如果其他機(jī)器想要編譯這個(gè)APP，則需要將私鑰導(dǎo)出，為.p12文件），并簽名該App，接著把Provisioning Profile文件命名為embedded.mobileprovision一同打包

二、驗(yàn)證

1.先用公鑰驗(yàn)證證書(shū)和附加信息的包的簽名，然后再驗(yàn)證證書(shū)的簽名

2.利用公鑰驗(yàn)證App簽名

3.利用附加信息驗(yàn)證