Slides on my talk at potatotips #51

1. What'sCodeSigning
potatotips#51,23May2018
ShinYamamoto
SoftwareDeveloper,Freelance
@scenee
https://scenee.com

2. Today'sLearning
✔ CodeSigningとは何か？どう検証されているのか？
✔ ProvisioningProfileとは何か？
✔ なぜ、1年でProvisioningProfileの更新が必要なのか？
✔ Development/DistributionIdentityの違いは？

3. CodeSignとは？

4. CodeSignとは？
公開鍵方式暗号で、実行コードに電子署名(CodeSignature)を付与する
こと
電子署名には，秘密鍵と公開鍵が必要
秘密鍵:署名する‑>Identity
公開鍵:検証する‑>Certificate
Steps
1.開発者が、自身の秘密鍵(Identity)で、電子署名する
2.iOSは、その署名の正当性を公開鍵(Certificate)で検証する
Why?
開発者自身が作成したアプリケーションであることを保証する
※ 他にもCodeRequirement等の機能があるが、ここでは電子署名にフォーカスする

5. CodeSignとは？
‑CodeSigningGuide,AboutCodeSigning

6. CodeSignとは？

7. 署名はどこに？ApplicationBundle(*.app)
Mach‑O(Executable):
各アーキテクチャの LC_CODE_SIGNATURE Loadcommanddata
CMS(pkcs7‑signeddata)で、署名が埋め込まれている
CDHash,Entitlementsなど様々なメタデータも付与されている
ResourceFiles:
_CodeSignature/CodeResourcesというPList内に各リソースファイ
ルの署名を記載
※ 署名データフォーマットはApple独自でありドキュメント化されていない。

8. Tips
CodeSigning時に、実行コードやリソースは変更されない
再署名(Resign)できる

9. Isthisenough?
CodeSignatureだけではアプリを起動できない✋

10. ProvisioningProfileとは？

11. ProvisioningProfileとは？
iOSがアプリプロセスに実行権限等リソースを提供(Provisioning)するた
めのプロファイル
AppID
デジタル証明書(公開鍵)リスト
デバイスリスト(ProvisionedDevices)
Entitlements

12. ProvisioningProfileとは？
CMS(CryptographicMessageSyntax:RFC5652)形式のファイル
Appleが署名済みIssued&signedby"AppleiPhoneOS
ProvisioningProfileSigning"
PKCS7‑SignedData(S/MIMEcompat)
Entitlementsとは？
iOSがアプリプロセスに割り当てる権限を指定(Apple署名で承認済
み)
Hint:Certificatesを確認する
security cms -D -i /path/to/mobileprovision > temp.plist
/usr/libexec/PlistBuddy -c
"Print :DeveloperCertificates:0" temp.plist
| openssl x509 -inform der -text

13. App起動時に何が検証されるのか？
Mach‑Oに埋め込まれた署名情報等と、Provisioning_Profileが照合がさ
れる
Point
ProvisioningProfile
は、Appleによって署
名されている=承認
されている

14. AppIDとCertificateには、関連性はない
AppIDは、Entitlementsに関連する
Certificateは、「だれが署名したのか」を確認するだけ

15. なぜ1年ごとの更新が必要なのか？
Provisioning_Profileに含まれる証明書の期限が、1年だから
何度、ProvisioningProfileを発行しても..
指定する証明書の期限にのみ依存
証明書が有効なら古いProvisioningProfileも有効
証明書をrevokeすると..
その証明書を保持するProvisioningProfileは全て無効になる
その証明書に対応するIdentityで署名ができなくなる

16. Development/Distributionの違いは?
:Entitlements:get-task-allow: true/false
Xcodedebuggerが、アプリプロセスにattachできるどうか
Developmentでは、Instrumentsによって解析が可能

17. TeamProvisioningProfileとは？
メンバー全てのDevelopment証明書を含むProvisioning_Profile
Xcodeで自動生成される
Wildcard(*)or特定のAppID
Teamメンバーに対応したデバイスを含む

18. 秘密鍵の再作成は不要(ただし、面倒)
Certificate(公開鍵)は、Identity(秘密鍵)から作成可能
期限切れIdentityから証明書のみを更新できる
How‑to
1.Keychainからp12ファイルをExport
2.p12ファイルとそのパスワードを用いて、以下のコマンドを実行
openssl req -new -key <(
openssl pkcs12 -in /path/to/Certificates.p12
-nocerts -nodes -passin pass:"<# password #>"
) > new.certSigningRequest
3. new.certSigningRequest をsubmit
※ publickeyがある場合、privatekeyを右クリック「RequestaCertificateFroma
CertificateAuthorityFrom"..."」で作成可

19. Recap
CodeSigningとは、アプリに電子署名すること
電子署名(CodeSignature)には，秘密鍵(Identity)と公開鍵
(Certificate)が必要
秘密鍵と公開鍵≡ IdentityとProvisioningProfile
ProvisioningProfileは、Certificateを含み、Appleにより署名済み
iOSは、ProvisioningProfileで、CodeSignatureを検証する

20. References
CodeSigningGuide,
https://developer.apple.com/library/content/documentation/Security/C
onceptual/CodeSigningGuide/Introduction/Introduction.html
CodeSigning,https://developer.apple.com/support/code‑signing/
TechnicalNoteTN2415:EntitlementsTroubleshooting,
https://developer.apple.com/library/content/technotes/tn2415/_index.
html
TechnicalNoteTN2206:macOSCodeSigningInDepth,
https://developer.apple.com/library/content/technotes/tn2206/_index.
html