CryptoProを使用してモバイルアプリケーションを保護する：段階的な手順

この記事では、ロシア最大の暗号情報保護手段および電子デジタル署名のサプライヤーの1つであるロシアの大手企業であるCryptoProとの連携について説明しています。 iOSのフレームワークとインポート中の落とし穴のインポート、電子デジタル署名の作成と検証、および秘密キーを使用した承認の使用が考慮されます。

CryptoProを使用する

モバイルアプリケーションでのこのようなレベルの保護と機能の実装は、原則として、ページレイアウトやサーバーへのリクエストの送信ほど簡単ではないことをすぐに言いたいと思います。 暗号化とTLSを介した安全な接続で作業したことがない場合は特に、いずれの場合も読んで学ぶ必要があります。



CryptoProは、モバイル開発者にこのような複雑な機能をアプリケーションに無料で導入するための強力なツールを提供しますが、軟膏にもハエがあります。 残念ながら、長い間会社は存在しており、便利で理解しやすい文書は作成されていません。 それとは別に、モバイル開発者にとっては原則としてそうではありません。



遅かれ早かれ、開発はフォーラムにあなたを導き、あなたは答えを見つけるためにそれをシャベルで掘る必要があります。 最大の難点は、何をどのように行うかに関する情報が不足していることです。これは、この記事で修正しようとするものです。 役立つ可能性のあるリソースへのすべてのリンクは、記事の最後に残されます。



また、C ++で作業し、メモリの割り当てとクリーニングを自分で行う必要があります。

この記事はCryptoPro CSP 4.0の現在のバージョンで書かれているため、今後開発者向けに以下で説明するパッケージは異なる可能性があります。

CryptoProをモバイルアプリケーションにインポートする

アプリケーションでCryptoProを使用するための最初のステップは、会社のWebサイトからダウンロードしたフレームワークを実装することです。 フレームワーク自体に加えて、iOSパッケージには3つの例が含まれています-電子署名（EDS）の作成、sslトンネルの作成、およびWebページでEDSを作成および検証する機能を備えたブラウザーを作成できる例です。 詳細な説明は、Readmeファイルの例に含まれています。 それらに基づいて、アクションのアルゴリズムを理解するのが簡単です。 MacOSパッケージは非常に役立ちます。詳細なコメント付きの多くの有用な例が含まれています。 インストール後、すべての例はディスクのopt / cprocsp / src / doxygen / CSPセクションに配置されます。



フレームワーク自体をインポートする手順は、ReadMeファイルのCPROCSP.frameworkにあります。ポイントごとに分析します。



1.コンソールにアクセスして、ダウンロードしたフレームワークへのパスを登録し、次に説明するようにユーティリティを実行する必要があります。

cd /Users/agima//ios-uni/CPROCSP.framework/ ./ SetApplicationLicense 40400-W0037-EKVQK-9YDNG-D3F67 license.enc
      
      

        
        
        
      

    
        
        
        
      
      

        
        
        
      

    
     

（指定されたキーがファイルに添付されると、license.encライセンスファイルが同じディレクトリに作成されます）。



2.フレームワークをインポートする前に、CPROCSP.frameworkファイルをプロジェクトフォルダーに移動することをお勧めします。 そのため、誤ってフレームワークを別のフォルダーに転送することから身を守ることができます。そのため、Xcodeへのパスが「飛ぶ」ことになります。

インポートするには：Xcodeを開き、左側のサイドバーでプロジェクトを選択し、ターゲットリストでアセンブリターゲットを選択します







次に、[ビルドフェーズ]タブで、[バイナリとライブラリをリンク]を選択し、[+]をクリックしてから[その他の追加]をクリックして、フレームワークへのパスを手動で指定します。 それを見つけて、[開く]を選択します。 フレームワークはインポートされましたが、まだ使用できません。







3.プロジェクトにResourcesフォルダーを作成し、CPROCSP.frameworkファイルを開き、Resourcesフォルダーに移動して、ローカライズ（ru.lrojとen.lproj）を除くすべてのファイルとフォルダーを、次の設定で作成したフォルダーにドラッグします。







4.最初の段落で作成したライセンスファイルを、上記のスクリーンショットの設定と同じフォルダーにドラッグアンドドロップします。



5.次に、残りのローカライズフォルダーをアプリケーションリソースにも転送しますが、設定は異なります。







すべてが正しく行われると、フォルダーは次のようになります。







6.次の項目は、エミュレータでデバッグするためのプロジェクトの設定です。 これが行われない場合、アプリケーションはデバイス上でのみ起動できます。 プロジェクトの[ビルド設定]タブの[有効なアーキテクチャ]フィールドには、armv7のみが残されています。 64ビットアーキテクチャのサポートは既に進行中ですが、現在は32ビットを使用しています。 また、アーキテクチャで最適化（armv7）を作成します。 以下を取得する必要があります。







これで添付の手順は完了しますが、アプリケーションを起動することはできません。コンパイルすると、次のようなものが表示されます。







開発者がいくつかのポイントを追加しなかった理由は不明ですが、正しいリンクを作成するには、さらにライブラリと「マジックフラグ」を追加する必要があります。 より詳細に。



パラグラフ2で説明したスキームと同様に、CPROCSP.frameworkファイルを取得し、その中のリーダーフォルダーに移動して、そこに埃っぽいlibrdrpcsc_empty.oライブラリをインポートします。 Xcodeに埋め込まれたライブラリから次のライブラリを追加します。このため、同じウィンドウで、検索でlibzと入力します







[追加]ボタンで追加します。



ただし、これでも十分ではありません。もう1つエラーが残ります。







それを解決するには、プロジェクト内のどこかにフラグを配置します。

 extern bool USE_CACHE_DIR; bool USE_CACHE_DIR = false;
      
      

        
        
        
      

    
        
        
        
      
      

        
        
        
      

    
     

その後、問題は解決され、アプリケーションは正常にビルドされます。 このフラグは、キーとともにフォルダを保存する場所を示します。 falseの場合（使用したように、理由は後で開示されます）、フォルダーが使用されます

 /private/var/root/Documents/cprocsp/keys
      
      

        
        
        
      

    
        
        
        
      
      

        
        
        
      

    
     

trueの場合、それらは閉じた場所に保存されます。

 /private/var/root/Library/Caches/cprocsp/keys/
      
      

        
        
        
      

    
        
        
        
      
      

        
        
        
      

    
     

これでフレームワークのインポートが完了し、エミュレーターでアプリケーションを実行できます。

CryptoProを操作するための秘密鍵コンテナー

執筆時点では、「CryptoPro CSP 4.0」は公開鍵と秘密鍵の両方を含む* .pfx証明書の使用をサポートしていません。 CryptoProを使用してのみ取得できる* .000コンテナーを使用する必要があります。 それらの形式はどこにも記述されておらず、原則として、キーメディア、トークン（フラッシュドライブ、フロッピーディスク）に書き込まれます。 Explorerでは、これらはheader.key、masks.key、name.keyおよびprimary.keyファイルに分割された1つのキーを含むフォルダーのように見えます。



同社にはテスト認証センター （CA）もあり、そこでキーを生成してCA証明書を取得できます。 ここで、証明書要求登録ページを正しく動作させるには、Internet Explorer（またはテストCAにダウンロードできるプラグインがインストールされている他のブラウザー）を使用する必要があり、CSPはコンピューターにインストールする必要があります。必要なハッシュアルゴリズムは利用できませんGOST R 34.10-2012。

アプリケーションへの秘密鍵コンテナのインストール

CryptoProの従業員自身が書いているように、デバイスにコンテナをインストールするための3つのオプションがあります。



•iTunesファイル共有経由。

•iExplorerなど、iOSでファイルを記録するための別のアプリケーションを使用します。

•独自のキーエクスポートをblob（PRIVATEKEYBLOB）に記述し、アプリケーションコードにインポートします。 そのようなメソッドの例は、EncryptKey / DecryptKeyと呼ばれる前述のMacOSパッケージにあります。



最初のオプションを使用しました-最も速く、最も満足できる顧客の要件として。 その実装のために、インポート中にUSE_CACHE_DIR = falseフラグが選択されました。 iTunesファイル共有が使用されない場合、またはキーを使用してフォルダーを覗く機能をユーザーから非表示にする場合は、フラグをtrueに設定して非表示にすることをお勧めします。

フレームワークがインストールされた最初の起動後、アプリケーションのDocumentsフォルダーにcprocspフォルダーが作成されます。







このフォルダー内には、すべてのキーコンテナーが格納されます。 インストールされた証明書とコンテナは保存され、デバイスのキーストレージではなくアプリケーションに関連するため、削除後はそれらを再インストールする必要があります。



さらに、2つの方法があります。すべての機能を自分で記述するか、既製のコントローラーを使用するか、ほとんどの問題を解決するのに十分なので、それについて説明します。

フレームワークには、PaneViewController.hというヘッダーファイルが含まれています。 設計の厳密さに悩まされていない場合は、提案されたxibファイル（CPROCSP.framework / Resourcesにあります）をインポートし、それらを使用して暗号パネルを初期化できます。たとえば、次のようになります。

 <code>#import “CPROCSP/PaneViewControler.h” … PaneViewController *CPROPane; if(UI_USER_INTERFACE_IDIOM() == UIUserInterfaceIdiomPad) CPROPane = [[PaneViewController alloc] initWithNibName:@"PaneViewController" bundle:nil]; else CPROPane = [[PaneViewController alloc] initWithNibName:@"PaneViewControllerIPhone" bundle: nil]; UINavigationController *navController = [[UINavigationController alloc] initWithRootViewController:CPROPane]; [navController setModalPresentationStyle:UIModalPresentationFullScreen]; [self presentViewController:navController animated:true completion:nil];</code>
      
      

        
        
        
      

    
        
        
        
      
      

        
        
        
      

    
     

ただし、すべてのxibファイルはテーブルを持つ通常のUIViewであるため、デザインに合わせて簡単にカスタマイズできます。







パネルを開いた後、最初に行うことは「CAとの相互作用」タブに移動し、CA証明書（証明機関のルート証明書）をインストールし、登録手順を実行し、証明書要求を送信して受信（インストール）することです。







CAルート証明書をインストールすると、モバイルフォルダーがcprocsp / keysフォルダーに表示されます。 コンテナ* .000がそこに配置されます。 それらをインストールするには、「CryptoPro」パネルに戻り、メイン画面で「Install Certificates and Containers」を選択します。 cprocsp / keys / mobileフォルダーに含まれるコンテナーはCryptoPro暗号プロバイダーからのものである必要があります（少なくとも1つが破損または破損していない場合、関数はそれらをインストールせずにエラーを返します）。

これでインストールは完了です。

秘密鍵の署名と検証

CAルート証明書とコンテナをインストールしたら、ドキュメントへの署名を開始できます。 署名の作成および検証機能は、前述のCryptMsgSignと呼ばれるMacOSパッケージにあります。 使用される各関数に関するコメントが含まれています。 同様の例は、iOSのパッケージのCreateFile / Classes / SignFie.cppにあります。 ここでは、以前の署名の実装とは異なり、署名されるファイルへのパスが提供されます。 多数の機能があるため、それぞれを個別に分析しません。 それほど明白ではないいくつかの点を考慮してください。



署名機能は、次を使用して証明書ストアを開くことから始まります

CertOpenSystemStore：

 <code>hCertStore = CertOpenSystemStore(0, "My"); if(!hCertStore) { ret = CSP_GetLastError(); fprintf (stderr, "CertOpenSystemStore failed."); }</code>
      
      

        
        
        
      

    
        
        
        
      
      

        
        
        
      

    
     

これは、デバイスのキーストレージではなく、cprocsp / users / mobile / storesフォルダ内のアプリケーションに含まれるストレージを意味します。 この機能は、そのようなストレージが見つからない場合に作成されるように機能するため、心配する必要はありません。 PaneViewControllerパネルを使用して、MY.stoリポジトリが作成および使用されます。

証明書へのポインタを受け取り、秘密鍵を抽出し、その他の初期化を行った後、署名手順はCryptMsgOpenToEncode関数で始まります。この関数は、エンコードのためにメッセージを開き、開いているメッセージへのハンドルを返します。

 if(hMsg = CryptMsgOpenToEncode(TYPE_DER, // Encoding type 0, // Flags CMSG_SIGNED, // Message type &SignedMsgEncodeInfo, // Pointer to structure NULL, // Inner content object ID NULL)) // Stream information (not used) { printf("The message to be encoded has been opened. \n"); } else { ret = CSP_GetLastError(); fprintf (stderr, "OpenToEncode failed"); } … if(hMsg) CryptMsgClose(hMsg);</code>
      
      

        
        
        
      

    
        
        
        
      
      

        
        
        
      

    
     

メッセージは、CryptMsgCloseが呼び出されるまで開いたままです。 ここでは、使用するフラグ（2番目のパラメーター）に注意する価値があります。例のように0を設定すると、署名が付加されます。 デタッチされた署名を取得するには、CMSG_DETACHED_FLAGフラグを設定する必要があります。 その後、署名されたデータがメッセージに配置され、結果のBLOBを別のファイルに表示できます。



署名の検証は、いくつかの例外を除いて作成と似ています。 最初に、デコード用のメッセージが開かれ、次に署名に添付された証明書が取り出されます。 ストアが開き、添付された証明書を検索します。 証明書が見つかった後、署名はCryptMsgControl関数によって検証され、検証が成功した場合はtrueを返し、エラーが発生した場合はfalseを返します。

 if(CryptMsgControl(hMsg, // Handle to the message 0, // Flags CMSG_CTRL_VERIFY_SIGNATURE, // Control type pSignerCertificateInfo)) // Pointer to the CERT_INFO { printf("\nSignature was VERIFIED.\n"); } else { printf("\nThe signature was NOT VERIFIED.\n"); ret = CSP_GetLastError(); }</code>
      
      

        
        
        
      

    
        
        
        
      
      

        
        
        
      

    
     

CSP_GetLastError（）関数は、エラーコードと簡単な説明を返します。

秘密鍵認証

秘密キーを使用した認証には、上記の方法でインストールされたキー自体、インストールされたCAルート証明書、「CryptoPro」で構成されたサーバー、および信頼できるキーに追加されたキーが必要です。 サーバーは、iOS 9以降を搭載したすべてのデバイスでTLSバージョン1.2をサポートする必要があり、CryptoProのGOST暗号スイートも必要です。



サーバーに接続するために、別のマネージャーを作成し、NSURLSessionDataTaskの再開機能を書き直しました。 アプリケーションにはhttpとhttpsの両方を使用してログインする機能があるため、異なる接続を担当する2つのマネージャーを切り替えました。 CryptoProの暗号スイートを使用するには、別のマネージャーを作成する必要があります。 Client Helloでハンドシェイク中にそれらを配置しない場合、サーバーが「こんにちは」と言ったときに、間違った暗号スイートが選択されるため、TLS接続は失敗します。



WireSharkなどのプログラムは、エラーの原因を特定し、詳細な接続情報を取得するのに役立ちます。 TLS接続のすべての段階と分析に十分な情報を見る機会があります。 また、送信した暗号スイートとサーバーがサポートしている暗号スイートも確認できます。



必要な暗号スイートを送信するマネージャーとして、フレームワークの一部であるUrlRetrieverが使用されます。 ヘッダーを開くと、リクエストを送信するための多くの理解できる機能が表示されますが、特にサイトまたはフォーラムでドキュメントが見つからないため、使用方法と使用方法はすぐにはわかりません。 そして、開発者が残した1つのTODOを除いて、ファイル自体にコメントはありません:)

クラス内を調べることはできないため、すべてを手動でテストし、どのように機能するかを確認する必要がありました。



最初に、レトリーバー自体を作成します。リクエストごとにその情報をクリアする必要があるためです。 最初に、再開機能はクラスのインスタンスを作成します。

 #import <CPROCSP/CPROCSP.h> #import <CPROCSP/UrlRetriever.h> UrlRetriever *retriever = new UrlRetriever();    : retriever->set_verify_host(true); retriever->set_verify_server(true);</code>
      
      

        
        
        
      

    
        
        
        
      
      

        
        
        
      

    
     

その後、ヘッダーを書き込みます。 これらはすでにNSUrlRequestに含まれているため、そこから取得して、レトリーバーに必要なフォームに変換します。

 __block UrlHeaders headers; [self.request.allHTTPHeaderFields enumerateKeysAndObjectsUsingBlock:^(NSString * _Nonnull key, NSString * _Nonnull obj, BOOL * _Nonnull stop) { NSString *result = [NSString stringWithFormat:@"%@: %@", key, obj]; std::string *string = new std::string([result cStringUsingEncoding:[NSString defaultCStringEncoding]]); headers.push_back(*string); }]; retriever->set_headers(headers);    : BYTE *requestBytes = (BYTE *)[self.request.HTTPBody bytes]; retriever->set_postmessage(requestBytes, self.request.HTTPBody.length);</code>
      
      

        
        
        
      

    
        
        
        
      
      

        
        
        
      

    
     

証明書なしでログインした場合は、すでにリクエストを送信できます。

 retriever->retrieve_url([self.request.URL.absoluteString cStringUsingEncoding:[NSString defaultCStringEncoding]]); </code>
      
      

        
        
        
      

    
        
        
        
      
      

        
        
        
      

    
     

そして、完了ブロックに応答を返します。

 NSHTTPURLResponse *response = [[NSHTTPURLResponse alloc] initWithURL:self.request.URL statusCode:retriever->get_code() HTTPVersion:@"HTTP/1.1" headerFields:self.request.allHTTPHeaderFields]; self.requestCompletion(response, [NSData dataWithBytes:retriever->get_data() length:retriever->get_data_len()], nil); </code>
      
      

        
        
        
      

    
        
        
        
      
      

        
        
        
      

    
     

そして、エラーの場合、エラーを返します：

 self.requestCompletion(response, [[NSData alloc] init], [[NSError alloc] initWithDomain:NSURLErrorDomain code:retriever->get_error() userInfo:nil]);</code>
      
      

        
        
        
      

    
        
        
        
      
      

        
        
        
      

    
     

このシナリオは、証明書の承認についても同様です。リトリーバーに要求を送信する前にのみ、証明書のprint印を作成する必要があります。 指紋を取得するための多くのオプションがあります-最も正しいものを表示します（私たちの意見では）。

署名の例から、リポジトリを開くためのCertOpenStore、証明書記述子PCCERT_CONTEXTを受信するためのCertEnumCertificatesInStoreなどのいくつかの関数の実装を取り上げましょう。 その後、NSStingでフィンガープリントを取得する関数を作成します。

 - (NSString *)getCertificateHashFromCert:(PCCERT_CONTEXT)certContext { BYTE *pvData = NULL; DWORD cbSize = 0; DWORD cbHash = 0; if(!CertGetCertificateContextProperty(certContext, CERT_SHA1_HASH_PROP_ID, NULL, &cbSize)) NSLog(@"CertGetCertificateContextProperty error %u", CSP_GetLastError()); if (pvData) { free(pvData); } pvData = malloc(cbSize); cbHash = cbSize; if(!CertGetCertificateContextProperty(certContext, CERT_SHA1_HASH_PROP_ID, pvData, &cbSize)) NSLog(@"CertGetCertificateContextProperty error %u", CSP_GetLastError()); DWORD dest; if (!CryptBinaryToString(pvData, cbHash, 0, NULL, &dest)) NSLog(@"CryptBinaryToString error: %u", CSP_GetLastError()); LPWSTR buf = malloc(dest * sizeof(TCHAR)); if (!CryptBinaryToString(pvData, cbHash, 0, buf, &dest)) NSLog(@"CryptBinaryToString error: %u", CSP_GetLastError()); return [[NSString alloc] initWithData:[NSData dataWithBytes:buf length:dest] encoding:[NSString defaultCStringEncoding]]; } </code>
      
      

        
        
        
      

    
        
        
        
      
      

        
        
        
      

    
     

1つ目は、CERT_SHA1_HASH_PROP_IDパラメーターを持つCertGetCertificateContextProperty関数です。この関数は、証明書から取得する必要があるパラメーター（この場合はSHA1ハッシュ）を関数に伝えます。 この関数は2回呼び出されますが、最初はバッファー置換なしで、代わりにNULLが設定されます。 これは、必要なメモリサイズを取得するために行われます。必要なメモリサイズは、バッファに割り当てる必要があります。 2番目の使用法では、現在既知のサイズのバッファーが置き換えられます。 受信したデータをバイト配列から文字列に変換するために、CryptBinaryToString関数が使用されます-同じ理由で2回。 その後、フォームの美しいコンテンツを取得します。

 —----BEGIN CERTIFICATE-----  —---- END CERTIFICATE-----</code>
      
      

        
        
        
      

    
        
        
        
      
      

        
        
        
      

    
     

しかし、検索機能には別の形式が必要です。 CryptBinaryToStringで必要なフィンガープリントを取得するには、CRYPT_STRING_HEXフラグをフラグに書き込む必要があります（3番目のパラメーター）。 結果の文字列は指紋になり、それがレトリーバーに置かれます。

 retriever->set_client_cert([thumbPrint cStringUsingEncoding:[NSString defaultCStringEncoding]]);</code>
      
      

        
        
        
      

    
        
        
        
      
      

        
        
        
      

    
     

すべてが正しく行われると、GOST暗号化アルゴリズムを使用して接続が正常に確立されます。

便利なリンク

MSDN-パラメーターに含まれるすべての関数の詳細な説明、および実例。



フォーラム -従業員が毎日質問に答えるCryptoProフォーラム。 質問への多くの回答がすでに与えられており、彼らの処方箋（時には約6年）にもかかわらず、彼らはあなたを助けることができます。



開発者ガイド -暗号プロバイダーに含まれる機能のリストと、簡単な説明と例が記載された、会社が作成したガイド。



エラーの説明 -C ++関数で発生する可能性のあるエラーの大規模なリスト、およびそのコードと簡単な説明。 エラーコードを取得するには、フレームワークの一部であるアプリケーションコードでCSP_GetLastError関数を使用します。 最後に受信したエラーのコードを保存します。