IOS डेटाबेस सुरक्षा

डेटाबेस में संग्रहीत जानकारी की भेद्यता आईओएस अनुप्रयोगों के लिए सबसे आम सुरक्षा समस्याओं में से एक है। कई कार्यक्रम उपयोगकर्ता को डेटा तक पहुंचने के लिए पासवर्ड का उपयोग करने की पेशकश करते हैं - लेकिन ज्यादातर मामलों में यह किसी भी तरह से जानकारी को संग्रहीत करने के तरीके को प्रभावित नहीं करता है। इस प्रकार, पासवर्ड मैनेजर, नोटपैड, आयोजक, फाइनेंस ट्रैकर जैसे एप्लिकेशन के डेटा को लगभग किसी भी बाहरी व्यक्ति द्वारा एक्सेस किया जा सकता है, जिनके हाथों में आपका डिवाइस है।



निर्देशिका / var / mobile / Applications / के अंदर एप्लिकेशन इंस्टॉल करते समय, एक निर्देशिका बनाई जाती है जो इसके "सैंडबॉक्स" के रूप में कार्य करती है। आवेदन के लगभग सभी संभावित कार्य इसके दायरे से सीमित हैं। यह वह जगह है जहां NSUserDefaults टिंचर, अन्य प्लिस्ट फाइलें, कुकीज़, साथ ही डेटाबेस और अन्य संसाधन जिन्हें उपयोगकर्ता द्वारा बदला जा सकता है, संग्रहीत किए जाते हैं। इस निर्देशिका को एक्सेस करने के लिए, डिवाइस में जेलब्रेक स्थापित नहीं होना चाहिए - यह किसी भी फ़ाइल प्रबंधक (उदाहरण के लिए, iFunBox ) का उपयोग करना संभव है।



इस भेद्यता की व्यापकता को स्पष्ट करने के लिए, हम एक एप्लिकेशन लेते हैं जो भुगतान किए गए ऐप स्टोर टॉप में लगातार चमकता है - स्मार्ट सेफ ।



IFunBox का उपयोग करके हम / दस्तावेज़ फ़ोल्डर की सामग्री से खुद को परिचित करेंगे। अन्य बातों के अलावा, इसमें निम्नलिखित फाइलें शामिल हैं: notes.sqlite , notes.sqlite-shm , notes.sqlite-wal । Notes.sqlite डेटाबेस में तीन टेबल हैं:

• ZNOTE ,
• Z_METADATA ,
• Z_PRIMARYKEY ।

विशेष रुचि उनमें से पहली है। ZDATE फ़ील्ड में प्रकाशन की तिथि, ZBODY में - नोट का पाठ, ZTITLE में - इसका शीर्षक है। सभी पाठ एन्क्रिप्ट नहीं किए गए हैं और स्पष्ट पाठ में संग्रहीत हैं:









इस भेद्यता से निपटने का एक तरीका यह है कि मक्खी पर पारदर्शी एन्क्रिप्शन का समर्थन करने वाले SQLCipher ढांचे का उपयोग किया जाए । सभी क्रिप्टोग्राफिक कार्यों (AES256, छद्म यादृच्छिक संख्या जनरेटर, PBKDF2 कुंजियों) के लिए SQLCipher OpenSSL लाइब्रेरी का उपयोग करता है। विस्तृत विवरण, प्रलेखन और विधानसभाएं इस लिंक पर स्थित हैं।



इस लेख में, हम FMDatabase के साथ SQLCipher का उपयोग करते हुए देखेंगे , कोकोआ में SQLite डेटाबेस के साथ काम करने के लिए एक लोकप्रिय आवरण।



यदि आप प्रोजेक्ट में FMDatabase और SQLCipher जोड़ने के लिए Cocoapods का उपयोग करते हैं, तो बस पॉडफाइल में पॉड लाइन 'FMDB / SQLCipher' जोड़ें। अब AppDelegate.m की ओर मुड़ें:

- (BOOL)application:(UIApplication *)application didFinishLaunchingWithOptions:(NSDictionary *)launchOptions { NSArray *documentPaths = NSSearchPathForDirectoriesInDomains(NSDocumentDirectory, NSUserDomainMask, YES); NSString *documentDir = [documentPaths objectAtIndex:0]; self.databasePath = [documentDir stringByAppendingPathComponent:@"sqmple.sqlite"]; [self createAndCheckDatabase]; return YES; } -(void) createAndCheckDatabase { BOOL success; NSFileManager *fileManager = [NSFileManager defaultManager]; success = [fileManager fileExistsAtPath:self.databasePath]; if (success) return; // If file exists, don't do anything // if file does not exist, make a copy of the one in the Resources folder NSString *databasePathFromApp = [[[NSBundle mainBundle] resourcePath] stringByAppendingPathComponent:@"sample.sqlite"]; // File path [fileManager copyItemAtPath:databasePathFromApp toPath:self.databasePath error:nil]; // Make a copy of the file in the Documents folder // Set the new encrypted database path to be in the Documents Folder NSArray *documentPaths = NSSearchPathForDirectoriesInDomains(NSDocumentDirectory, NSUserDomainMask, YES); NSString *documentDir = [documentPaths objectAtIndex:0]; NSString *encryptedDatabasePath = [documentDir stringByAppendingPathComponent:@"encrypted.sqlite"]; NSString *key = @"PassKey"; // SQL Query. NOTE THAT DATABASE IS THE FULL PATH NOT ONLY THE NAME const char* sqlQ = [[NSString stringWithFormat:@"ATTACH DATABASE '%@' AS encrypted KEY '%@';", encryptedDatabasePath, key] UTF8String]; sqlite3 *unencrypted_DB; if (sqlite3_open([self.databasePath UTF8String], &unencrypted_DB) == SQLITE_OK) { // Attach empty encrypted database to unencrypted database sqlite3_exec(unencrypted_DB, sqlQ, NULL, NULL, NULL); // export database sqlite3_exec(unencrypted_DB, "SELECT sqlcipher_export('encrypted');", NULL, NULL, NULL); // Detach encrypted database sqlite3_exec(unencrypted_DB, "DETACH DATABASE encrypted;", NULL, NULL, NULL); sqlite3_close(unencrypted_DB); } else { sqlite3_close(unencrypted_DB); NSAssert1(NO, @"Failed to open database with message '%s'.", sqlite3_errmsg(unencrypted_DB)); } self.databasePath = [documentDir stringByAppendingPathComponent:@"encrypted.sqlite"]; }
      
      

        
        
        
      

    
        
        
        
      
      

        
        
        
      

    
     

यह सब, एक एन्क्रिप्टेड डेटाबेस बनाया गया है और आप इसके साथ काम करना शुरू कर सकते हैं। डेटाबेस खोलने के लिए एक विधि लिखते हैं:

 - (FMDatabase *)openWriteableDatabase { NSArray *paths = NSSearchPathForDirectoriesInDomains(NSDocumentDirectory, NSUserDomainMask, YES); NSString *documentsDirectory = [paths objectAtIndex:0]; NSString *writableDBPath = [documentsDirectory stringByAppendingPathComponent:@"encrypted.sqlite"]; FMDatabase* database = [FMDatabase databaseWithPath:writableDBPath]; [database open]; NSString *key = @"PassKey"; [database setKey:key]; return database; }
      
      

        
        
        
      

    
        
        
        
      
      

        
        
        
      

    
     

इस तरह से खुला एक डेटाबेस के साथ, आप कोई भी क्रिया कर सकते हैं: पंक्तियों को जोड़ना, उन्हें हटाना और इसी तरह। बेशक, एक एन्क्रिप्टेड डेटाबेस के साथ काम करते समय, आवेदन कोड में वायर्ड कुंजी का उपयोग करने की अनुशंसा नहीं की जाती है। एक अच्छा विकल्प गतिशील रूप से एक कुंजी बनाने के लिए एक विधि विकसित करना होगा जो प्रत्येक डिवाइस के लिए अद्वितीय है (इसके लिए आप विभिन्न मापदंडों के संयोजन का उपयोग कर सकते हैं, जैसे कि पहचानकर्ता फ़ोरवेंडर या एप्लिकेशन को एक्सेस करने के लिए उपयोगकर्ता द्वारा निर्धारित पासवर्ड)। डेटाबेस द्वारा उपयोग की जाने वाली कुंजी को बदलना कुछ और के समान सरल है:

 NSString *newKey = @"NewPassKey"; [database rekey:newKey];
      
      

        
        
        
      

    
        
        
        
      
      

        
        
        
      

    
     

यदि कोई पैरामीटर जिस पर मुख्य पीढ़ी आधारित है, गतिशील है, तो अपने परिवर्तनों के अनुसार इस पद्धति को कॉल करना न भूलें।



बेशक, SQLCipher का उपयोग उपयोगकर्ता डेटा की पूरी तरह से रक्षा करने में सक्षम नहीं होगा - लेकिन यह नौसिखिया शोधकर्ताओं को डरा देगा और अनुभवी पटाखे के जीवन को जटिल करेगा। अंत में, यह इस तथ्य का उल्लेख करने योग्य है कि ऐप स्टोर पर प्रदर्शित होने के लिए इस ढांचे का उपयोग करने वाले एक आवेदन के लिए, आपको एक ईआरएन फॉर्म प्रदान करना होगा, जिसे प्राप्त करने की प्रक्रिया इस पोस्ट में याकूब द्वारा अच्छी तरह से वर्णित है।