随着物联网（IoT）时代的到来，一个万物互联的世界已经向我们招手，承载物与物、人与物之间通信互联的基础就是涵盖所有行业、领域的一个个应用软件，基于iOS智能系统开发的应用软件，受到所有攻击者的青睐。
聚焦iOS App攻击路径与核心安全风险
iOS App天然的低防御模式
由于苹果iOS系统的封闭性，一直以来开发者普遍认为iOS应用更安全。正是因为iOS开发者的这种心态，很少有开发者对iOS应用进行混淆、加密等加固处理，结果导致App惨遭破解。根据国外安全机构的最新调查，App Store前100名应用中87%均遭受黑客的不同破解攻击，涵盖了游戏、商业、生成、金融、社交、娱乐、教育、医疗等各个行业的应用，给开发者造成了非常大的损失。
iOS App破解的三个必然攻击路径
破解iOS应用，有三个必然的攻击阶段：
1） 逆向分析iOS应用，通过代码逻辑分析、敏感信息利用、动态断点调试、动态注入试探等方式进行破解要素获取和可行性攻击
2） 扫描提取iOS应用漏洞，通过寻找应用开发过程缺陷、自身漏洞、引入漏洞、系统漏洞等建立攻击切入点
3） 组合提取的攻击元素和漏洞，建立切应用及服务系统脆弱性攻击点，完成攻击
iOS App面临的各类安全风险
l 代码逆向分析
l 代码篡改
l 代码盗用
l 漏洞利用
l 恶意代码植入及二次打包
l 动态调试
l 动态注入
l 隐私数据窃取
l 资源替换
l 通信数据破解
l 中间人劫持
l XcodeGhost漏洞利用
l ……
如何保护iOS应用安全？双管齐下，斩断针对iOS应用的攻击路径。
1）抵御风险的前提是快速、有效的检测、发现应用的漏洞和脆弱点，及时修复
2）解决风险的手段是准确狙击、阻止、延迟攻击者的进攻，通过对iOS应用实施全面、高强度的安全性加密、加固保护，来避免应用遭受攻击。
梆梆安全构建iOS应用全景保护体系
梆梆安全iOS应用全景保护体系是基于梆梆安全多年应用安全检测、风险评估技术和多态加密、加固技术而建立的，具有满足iOS应用全景保护的技术和服务能力。
1、“七大类”检测项，实现iOS应用风险自动化检测
梆梆安全iOS风险检测服务，基于七大类、数十项、上百检测点实现iOS应用风险的全面检测，助力开发者早发现、早解决。
l iOS自身安全风险检测
l 源代码安全风险检测
l 本地数据存储风险检测
l 加密算法与密钥安全风险检测
l 数据传输安全风险检测
l iOS漏洞风险检测
l iOS开发规范风险检测
2、“两大引擎”，实现iOS应用的多态安全保护
梆梆安全实现了基于源代码保护的“源码加固引擎”和基于Bitcode二进制保护的“Bitcode加固引擎”，支持从源代码、到编译中间码、到编译后二进制文件的全面加密、加固保护，建立阻止黑客攻击的纵深防御体系。
梆梆安全iOS应用加固核心优势：
l 保护能力全面，支持“静态防逆向”+“动态防攻击”的闭环保护服务
l 保护能力贯通iOS应用各个存在状态，支持源代码、中间码、二进制编码保护
l 源码加固引擎，满足高级加固审核要求，可以直接查看混淆加固后的代码，防止加固过程被引入或添加了非法代码
l 源码加固引擎，满足加固后应用快速定位，支持code-line级代码debug
l Bitcode加固引擎，满足一键式、傻瓜化快速加固服务，易用、快捷
3、“五大语言支持”，实现iOS应用主流开发语言全覆盖
l 支持Objective-C
l 支持Swift
l 支持C
l 支持C++
l 支持Dart
iOS开发者需要时刻提高警惕性
l 继Android应用之后，iOS应用已成为下一战场
l 基于iOS应用的攻击与防护对抗持续增强
l 基于H5技术的跨Android、iOS平台服务成为新兴攻击目标
l iOS的保护短板，间接降低了基于Android端、服务端的保护效果
l 监管层面的发力需要开发者更早的寻找到适合企业自身的整体方案防护方案
5G为万物互联提供了无限可能，也在快速推动产业互联网发展。在当前数字化转型的关键时期，越来越多的业务通过多终端协同完成，而App作为智能终端的重要载体，扮演着不可或缺的角色。梆梆安全在多年的实践与积累中，构建了完整的泛应用安全保护体系，设计开发了包括检测、加固、管控、监测在内的一体化安全服务平台，覆盖Android、iOS、H5、服务端、IoT、AI、U3D等主要场景，服务于智能生活的方方面面，如智慧金融、智慧政务、智能交通、智慧能源等。
来源：freebuf.com 2020-05-08 15:54:31 by: 梆梆安全
请登录后发表评论
注册