نوشته‌شده در

رمزگذاری – آیا استفاده از UUID به عنوان احراز هویت امن است؟

من یک برنامه کاربردی دارم که UUID را به عنوان یک احراز هویت استفاده می کند. UUID به عنوان KeyChain در داخل برنامه iOS من ذخیره می شود. وقتی UUID را پست می کنم، از https استفاده می کنم. آیا راهی برای به دست آوردن رمز عبور وجود دارد، مگر اینکه دسترسی فیزیکی یا راه دور به دستگاه داشته باشید؟ آیا این روش به شدت از بین رفته است؟

چرا این سوال یک تکراری نیست:

سوال او آدرس برای استفاده از UUID به عنوان ورودی در یک فیلد متنی است، در حالی که سوال من این است که UUID به عنوان احراز هویت پس از یک حالت کامل ورود به سیستم استفاده شود. اگر شما آن را در یک فیلد متنی تایپ کنید، کاربر باید UUID را بداند. (صحبت کردن در مورد برنامه من) اول از همه، کاربر UUID خود را نمی داند. دوم از همه، UUID در KeyChain رمزگذاری شده است.

نوشته‌شده در

ios – آیا می توان از طریق نرم افزارهای مخرب آلوده سازی یک پروژه خارجی Xcode را آلوده کرد؟

یک کارآفرین من را استخدام کرد تا برنامه تلفن همراه خود را بسازد و فایلهای پروژه Xcode را به من داد. از آنچه من در مورد آژانس توسعه که بتا خود را ساخته ام خواندن و شنیده ام، آنها کمترین حرف را می زنند. کلمه SCAM بارها و بارها به هم ریخته بود و او آن را کاملا روشن نشان داد تجربه خود را با آنها در بهترین حالت ناهموار بود.

حالا من می خواهم برنامه را اجرا کنم، برای اشکالات بررسی کنم؛ اطمینان حاصل کنید که حداقل برنامه کپی است، اما من مطمئن نیستم که آیا من خودم را به آسیب پذیری هایی که این پروژه خارجی را در دستگاه من اجرا می کنم باز می کنم. آیا هر کسی می تواند نور را در این زمینه بگذارد؟

نوشته‌شده در

تأیید اعتبار – API برنامه تلفن همراه با استفاده از UDID و Argon2

من سعی میکنم یک برنامه iOS ایجاد کنم، این کد و همه را نوشتم، و در حال حاضر API هایی را برای برقراری ارتباط با پایگاه داده در اختیار دارم.

  • برنامه با استفاده از HTTPS و درخواستهای POST برای برقراری ارتباط با API استفاده می کند.
  • رمزهای عبور با استفاده از الگوریتم Argon2 هچ شده اند.
  • گزینه های ورود به سیستم 3rd party وجود ندارد (فیس بوک، G + و غیره)

در حالی که من API ها را پیاده سازی می کردم متوجه شدم که کاربر می تواند یک کاربر دیگر را جعل کند، اعتقاد دارد که هیچ هویت هویتی وجود ندارد، من ایده ی ID Auth را مطرح کردم و می خواهم ببینیم چقدر کارآمد است.

  • ایده: هر بار کاربر ورود به برنامه، برنامه UDID را دریافت می کند و آن را به API ارسال می کند و API آن را با استفاده از الگوریتم مشابه (Argon2) هش کرده و آن را در پایگاه داده ذخیره می کند، زمانی که کاربر سعی می کند انجام دهد، برای مثال، تغییر نام و یا ارسال یک پیام به یک کاربر دیگر، برنامه UDID را به API ارسال خواهد کرد تا هویت کاربر را تأیید کند، در صورت وجود، سپس اقدام انجام خواهد شد.

آیا امن است؟ اگر نه، چگونه می توانم آن را بهبود دهم، یا آنچه باید انجام دهم؟

نوشته‌شده در

آزمون نفوذ – استفاده از فایل های EXE و DLL در دستگاه iOS است

من در مورد برنامه های کاربردی iOS شک دارم.

من یک برنامه iOS دارم. نرم افزار توسط نرم افزار MDM محافظت می شود.

فرایند نصب – هنگامی که MDM را بر روی دستگاه iPhone نصب می کنم و مدارک VPN سرور را ارائه می دهم، این شرکت نرم افزار را از سرور هل می دهد (به این معنی که من نیازی به دانلود برنامه از فروشگاه App) بنابراین، چگونه برنامه در دستگاه دستگاه iOS iOS پایه نصب می شود.

هنگامی که از طریق ساختار فایل / پوشه حرکت می کنم، فایل اصلی EXE و فایل های پشتیبانی کننده DLL آن را همراه با فایل های نرم افزار سنتی iOS در همان پوشه پیدا کردم.

سوال من این است: آیا این یک اشتباه یا هر گونه احتمال وجود دارد پل بین سیستم عامل iOS و فایل EXE / DLL. چرا آنها در آنجا هستند؟ هر گونه استفاده از EXE و DLL در دستگاه iOS؟ براساس درک من، استفاده از فایلهای EXE و DLL در دستگاه iPhone کاربردی ندارد. آیا درست است؟

Assumption – من برنامه Android خود را بررسی نکرده ام. اگر می توانستم آن را پیدا کنم، فرض می کنم که آنها بسته ی جهانی را در انتهای خود دارند که آنها را به انواع مختلف انواع دستگاه های کاربر مانند Android، Windows Desktop، iPhone و غیره فشار می دهد.

آیا این می تواند باشد یک دلیل؟ پس از گوگلینگ، متوجه شدم که برنامه ممکن است با استفاده از چارچوب فن آوری Xamarin – https://www.visualstudio.com/xamarin/

نوشته‌شده در

تلفن همراه – اپل iOS و KRACK

KRACK شامل چندین آسیب پذیری است (https://www.kb.cert.org/vuls/id/228519). اپل نسخه های CVE-2017-13077، CVE-2017-13078 و CVE-2017-13080 را از آنچه می توانم در یادداشت های انتشار پچ خود پیدا کنم، منتشر کرد.

آیا سایر موارد CVE برای iOS اپل یا iOS قابل اجرا نیست؟ هنوز آسیب پذیر است؟