การทำ certificates pinning กับ alamofire

Published in

กูโค้ด

2 min readNov 1, 2019

Certificate and Public Key Pinning เป็นหนุ่งใน guideline ของ OWASP ที่แนะนำให้ทำ เพื่อเพิ่มความปลอดภัย หรือถ่วงเวลาในการ reserve engineer ของแอปฯ ต่าง ๆ ได้

ซึ่งถ้าใครใช้ Alamofire ก็จะมีคำแนะนำง่าย ๆ ว่า

let serverTrustPolicies: [String: ServerTrustPolicy] = [
    "test.example.com": .pinCertificates(
        certificates: ServerTrustPolicy.certificates(),
        validateCertificateChain: true,
        validateHost: true
    ),
]let serverTrustPolicyManager = 
    ServerTrustPolicyManager(policies: serverTrustPolicies)
let sessionManager = SessionManager(
    serverTrustPolicyManager: serverTrustPolicyManager)

แล้วพอเรามีหลาย environments

เช่น dev, test, UAT, production และเราต้องรองรับหลายโดเมนด้วย

เราก็เผลอที่จะใส่ domain ของ dev, test ที่ปกติจะเปิด debug mode เอาไว้ซึ่ง อาจทำให้ผู้ไม่ประสงค์ดีพบ domain ของ dev และ test และสามารถแกะ api ของเราได้ง่ายขึ้น

ตรงนี้เราสามารถใช้ Preprocessor Macros (#if DEBUG) มาช่วยได้

ซึ่งตรงนี้จะไม่ทำให้ domain name หลุดออกไป หรือถ้ามีการระบุ domain name ผ่าน build setting variables แยกตาม environment มาอยู่แล้วก็อาจจะไม่เป็นไร

ไม่ให้ของหลุดออกไป

คำสั่ง ServerTrustPolicy.certificates() จะเป็นการหยิบ certificates จากทั้งหมดใน bundle เข้ามา ซึ่งอาจจะมีของ dev, test, UAT ติดขึ้นไปที่แอปปของ production ด้วยก็ได้

ตรงนี้มีคำแนะนำสองทางซึ่งจะทำทางแรกอย่างเดียว หรือทำทั้งสองทางก็ได้

ตั้ง EXCLUDED_SOURCE_FILE_NAMES ในแต่ละ build configurations โดยเราสามารถใช้ wildcard ได้เช่น *.cer และเรา override ในแต่ละ config ที่ key INCLUED_SOURCE_FILE_NAMES ว่า my-service-test.cer มันจะดึงไฟล์ตามที่ระบุไปใน bundle ด้วย
ระบุชื่อไฟล์ตรง ๆ ว่าอยากได้ไฟล์นี้เช่น แล้วค่อยใส่ใน ServerTrustPolicy.pinCertificates

static func getCharlesCertificate() -> NSData {
    let charlesCertName = "charles-ssl-proxying-certificate"
    let pathToCert = Bundle.main.path(
        forResource: charlsCertName, ofType: "cer")!        
    return try! NSData(contentsOfFile: pathToCert)
}let charlesCert = SecCertificateCreateWithData(
    nil, 
    getCharlesCertificate())