iOS系统安全机制概览

iOS通过以下几种机制来保全整个系统的安全性：

一：系统结构

所有iOS设备中，系统与硬件都高度集成，从系统启动、系统更新、应用的安装、应用的运行时等多个方面来保全系统的安全，具体包括：

1：所有iOS设备在处理器内都集成有一段名为Boot Room的代码，此代码被烧制到处理其内的一块存储上，并且只读，可以认为是完全可信的。系统启动时，Boot Room通过苹果的Apple Root CA Public证书对Low-Level BootLoader进行验证，如果通过验证，Low-Level BootLoader将运行iBoot，较Low-Level Bootloader高层次的Bootloader，如果这一步也通过，那么iBoot将运行iOS的内核, XNU，系统开始运行。

以上这几个步骤任一步骤无法通过，都将导致系统无法启动，这样，处理期内烧制的Boot Room保证了iOS系统只能在Apple自家设备上运行，而这些设备也将无法运行iOS之外的系统。

2：iOS设备的系统升级之后是不允许降级的（官方没有提供接口）。这样做的好处是系统的安全等级只会越来越高，二不会出现由于系统降级，已修复安全风险又暴露出来的问题。

iOS系统在升级过程需要联网进行验证，系统升级之前，设备会将LLB、iBoot、内核、镜像，外加一个随机的不可重复的值发送到苹果的服务器进行验证，服务器端对所有这些进行验证，如果通过验证，将会返回一个通过的结果，结果加入了与设备唯一相关的ECID。这样做的好处是此值是无法重用的，只能对应与一台设备，且只能使用一次。同过这种机制，保证了系统升级过程都是符合苹果要求的。提高了较高的安全性。

3：所有运行在iOS上的代码都是需要签名的。苹果自带应用已经打上了苹果的签名，而第三方应用，则需要开发者账号进行签名，而开发者账号都是通过苹果官方实名审核的账号，从开发者源头上控制了程序的安全性，也就是说，系统内所有运行的程序都是可信的，且知道来源的。这个签名就是在Xcode code signing选项里选择的账户。

4：运行与iOS系统的第三方软件都是运行与sandbox之内，每个第三方程序都有自己的独占的路径，其只能访问独占路境内的内容，其他程序的文件一般情况下无法访问，如果要访问，只能通过苹果官方API，而不能自行操作文件。连个应用之间无法共享文件，如要互相通信，只能通过URL Schema或shared key chain。

另外，每个应用都有其运行权限，不同权限可进行的操作是不同的，将应用的权限限制在其需要的范围内，而不赋予额外的权限。

二：数据的加密与保护

1：加解密是耗时耗能源的操作。而iOS内所有用户数据都是强制加密的，加密功能不能关闭。所以，苹果的AES加解密引擎都是硬件级的，位于存储与系统之间的DMA内，所有进出存储的数据都啊要经过硬件的加密与揭秘，这样提供了较高的效率与性能。

加密揭秘使用的KEY主要来自unique ID(UID)以及Group ID(gid)，UID与唯一设备相关，GID与某种特定型号的CPU相关，一台设备的UID及GID全部被烧制到芯片内部，除了AES加密引擎，没有其他方法直接读取，能看到的只有使用UID及GID加密后的数据。这样，不同设备的加密结果是不同的，同一套密文只能在加密的机器上进行解密。

除了GID及UID，其他加密使用的KEY全部来自系统自带的随机数生成器，具体使用的算法为Yarrow。

2: iOS提供了名为File Data Protection的数据保护方法。所有文件在加密时使用的key都是不同的，这些key被称作的prefile key，存储于metafile内。

prefile的访问需要进行解密的key，这些key包括：

1. File System Key: 系统安装时生成的一个随即的key
2. Class Key，另一个key，与UID相关，如果用户设置了锁屏密码，那么此Class Key将的来源将同时包括锁屏密码。

只有有了这两个key，一个文件的prefilekey才能被读取出来，此加密的文件才能被揭秘，也就是说，当锁屏之后，或存储位于不同的设备之上，数据是无法读取的。

File System Key还有一个重要作用，远程删除数据时，其实不用真正的删除磁盘上的数据，只要删除此key，那么所有文件的prefile key 将不能访问，也就是所有文件将无法读取。

 

3：锁屏密码为了防止暴力破解，增加了三个限制：

1. 将其与uid绑定，也就是只能在该密码生成的设备上进行尝试，
2. 两次尝试的间隔被强制设成80ms，机器暴力破解的时间将大大加长
3. 增加选项，如果连续输错次数超过10次，可以选择删除设备内数据

4：Keychain。应用的小量极敏感数据，例如密码，最好存储与KeyChain内，而不是应用自己管理。

三：网络安全

除了本地数据的保护，苹果还对数据的传输提供了多种多样的保护机制。苹果提供了 可靠的、可信以及加密的连接。因为iOS平台限制了同时监听的端口的数量，并将那些不必要的网络组建，例如telnet，shell以及web server等，所以不需要防火墙的保护。

1. SSL, TLS，苹果提供了对SSL以及TLS的支持。CFNetwork则简化了这些协议的使用。
2. VPN，iOS内置的VPN客户端，支持多种VPN服务器及认证方式。
3. WIFI，提供了包括WPA2 Enterprise在内的多样标准WIFI协议。
4. 蓝牙，iOS蓝牙功能提供了多样化的安全选择

 

四：设备权限控制

 

针对企业用户，iOS系统提供了多样的安全策略，管理原可以根据需求对设备的安全特性进行多样化的设置，包括密码策略，数据保护策略，应用使用策略，远程数据删除等功能，给企业级用户提供了高安全性以及极大的灵活性。