将iPhone应用程序的httpsencryption保护到网页

我想卖一个iPhone应用程序,将一个网页视图网页,说http://www.myapp.com/webview/我希望应用程序有效地存储身份validation所需的凭据在网站(即只有购买了应用程序的人才能查看此页面)

我还有什么可以在iPhone上获得安全,简单的webview,而不需要用户login(实质上他们购买应用程序将构成他们对页面的身份validation)

任何人都可以帮忙吗?

没有绝对的办法来实现这个目标。 如果您有一个使用共享凭证(绑定在应用程序中)的Web服务,则可以对该凭证进行逆向工程。 最终,确保在另一台机器上运行的客户端是“您的”客户端是不可能的。

这个有很多的讨论。 这不是没有希望,只有100%(甚至90%)才能解决。 SSL上的一个简单的共享密钥将会阻止大多数攻击者,而不会损害用户的利益,也不会花费太多的开发费用。 这是混淆,而不是安全,但便宜和“最有效的”比昂贵和“最有效的”要好得多。

如果你有一个非常高价值的产品,那么它可能需要更积极(昂贵)的解决scheme。 所有这些解决scheme都包括以下两件事情之一:

  • authentication用户而不是程序,或者
  • 不断提高警惕,注意新的攻击和修复补丁。

后者是非常昂贵的,永远不会结束。 确保它是值得的。

其他一些有用的讨论:

  • 反盗版和应用程序识别。 iPhone SDK
  • 最简单的方法来限制可执行文件在某台计算机上运行
  • 反编译Objective-C库
  • 混淆cocoa

编辑我想指出一件关于我提到的“SSL上的共享密钥”。 请记住,如果您不validation证书,您将受到非常容易的中间人攻击。 像Charles这样的可用代理可以做到这一点。 最好的方法是确保返回的SSL证书由您的根证书签名,而不仅仅是“任何可信证书”。 您可以使用SecTrustSetAnchorCertificates()重新configuration应用程序信任哪些证书。 iOS5:PTL在第11章(第221页)中介绍了这种技术。 我也把它包装到一个名为RNPinnedCertValidator的库中。

另一个好的方面是实现一个质询 – 响应系统,服务器validation客户端是否拥有共享密钥,而不必将其放在networking上。 维基百科关于Challenge-resonseauthentication的文章包含了对algorithm的很好的解释。