Импорт частного ключа в Keychain не работает должным образом в iphone

Ответ 1

Взгляните на последний метод в принятом ответе: Преобразование NSData в SecKeyRef

Проблема в том, что iOS обрабатывает общедоступные и закрытые ключи несколько иначе, если заголовок идентификации, который обычно существует и ожидаемый другими API-интерфейсами безопасности (например, в Java), не ожидается в iOS. Поэтому вы должны их раздеть.

Ответ 2

Возможно, вместо хранения всего вашего ключа в цепочке ключей вы можете просто сохранить простую символьную строку в цепочке ключей (как secret_hash). Кроме того, сделайте безопасные вызовы для веб-служб бэкэнд, используя общую широко распространенную библиотеку AFNetworking.

Поэтому, если вам нужно подписать свои запросы к серверной службе с помощью закрытого ключа, я предлагаю вам сделать это: (a) используя надежную библиотеку обертки для вызова службы (AFNetworking) и (b) сохранение закрытого ключа как .pfx в месте, доступном для приложения (я бы сохранил файл .pfx в корне проекта.)

Итак, создайте свой собственный подкласс AFHTTPClient и используйте подкласс для создания AFHTTPRequestOperations с помощью блоков запросов, установленных для использования учетных данных, извлеченных из .pfx.

Таким образом, вместо прямого создания AFHTTPRequestOperation - создайте их, используя метод MySignedAFHTTPRequestOperation вашего подкласса AFHTTPClient. Этот метод должен создать AFHTTPRequestOperation, а затем установить контрольный блок следующим образом:

    [myOperationObject setAuthenticationChallengeBlock:^(NSURLConnection *connection, NSURLAuthenticationChallenge *challenge)
    {
             NSString * pfxPath = [[NSBundle mainBundle]
                           pathForResource:@"pvtKeyFile" ofType:@"pfx"];

            NSData *PKCS12Data = [[NSData alloc] initWithContentsOfFile: pfxPath];
            CFDataRef inPKCS12Data = (__bridge CFDataRef)PKCS12Data;    
            SecIdentityRef identity;
            SecTrustRef trust;
            myIdentityAndTrustExtractionHelper(inPKCS12Data, &identity, &trust);

            SecCertificateRef certificate = NULL;
            SecIdentityCopyCertificate (identity, &certificate); 

            const void *certs[] = {certificate};
            CFArrayRef certArray = CFArrayCreate(kCFAllocatorDefault, certs, 1, NULL);

            NSURLCredential *credential = [NSURLCredential
                                           credentialWithIdentity:identity
                                           certificates:(__bridge NSArray*)certArray
                                           persistence:NSURLCredentialPersistencePermanent];

            [[challenge sender] useCredential:credential
                forAuthenticationChallenge:challenge];
            CFRelease(certArray);
    } 

Вот более подробная информация о вспомогательной функции удаления идентификатора, которая была использована выше...

OSStatus myIdentityAndTrustExtractionHelper(CFDataRef inPKCS12Data,        
                                 SecIdentityRef *mySecIdentityRef,
                                 SecTrustRef *myTrustRef)
{
    //modify to get secret-hash from keychain 
    CFStringRef mySecretHash = CFSTR(secret_hash);
    const void *keys[] =   { kSecImportExportPassphrase };
    const void *values[] = { mySecretHash };


    CFArrayRef pkscItems = CFArrayCreate(NULL, 0, 0, NULL);
    OSStatus mySecurityError = SecPKCS12Import(inPKCS12Data,
                                CFDictionaryCreate(NULL,keys, values, 1,
                                NULL, NULL),
                                &pkscItems);
    if (mySecurityError == 0) 
    {                                 
        CFDictionaryRef myIdentityAndTrust = CFArrayGetValueAtIndex (pkscItems, 0);
        const void *tempIdentity = NULL;
        tempIdentity = CFDictionaryGetValue (myIdentityAndTrust,
                                             kSecImportItemIdentity);
        *mySecIdentityRef = (SecIdentityRef)tempIdentity;
        const void *tempTrust = NULL;
        tempTrust = CFDictionaryGetValue (myIdentityAndTrust, kSecImportItemTrust);
        *myTrustRef = (SecTrustRef)tempTrust;
    }

    return mySecurityError;
}

Как только вы создаете AFHTTPRequest таким образом (т.е. с помощью метода MySignedAFHTTPRequestOperation вашего подкласса AFHTTPClient), добавьте его в NSOperationsQueue для выполнения (конечно, вам нужно правильно установить блоки успеха и обработчиков ошибок при создании операции)

Вкратце:

• используйте надежную инфраструктуру AFNetworking, чтобы сделать ваши вызовы webservice
• сохранить закрытый ключ сертификата как .pfx файл в приложении и использовать его для создания учетных данных и ключей
• позволяет AFNetworking выполнять шифрование для вас, задавая учетные данные в каждом созданном объекте операции.

Надеюсь, что это поможет.

Ответ 3

Если вы просто хотите сохранить AES-256 RSA PEM, который у вас есть в стандартном PHP-формате base64 string type, в системный брелок, это работает для меня.

Я размещаю это здесь, потому что много мест, я читал, что вы не можете просто вставлять PEM файл прямо в iOS; или вам нужно снять с него некоторые заголовки; и т.д. Однако, по крайней мере, на iOS 9.3, теперь это работает, и если бы я видел это где-то, это бы сэкономило мне много времени. (Примечание: ниже приведена сильно измененная версия части Objective-C -RSA из https://github.com/ideawu/Objective-C-RSA, см. я не подразумеваю никаких утверждений. У них также есть версия Swift: https://github.com/btnguyen2k/swift-rsautils, которая выглядит гораздо более полной и будет решать проблемы для много людей.)

#define BR (__bridge id)
#define BRD (__bridge CFDictionaryRef)

+ (SecKeyRef)storePrivateKey:(NSString *)key inSystemKeychainWithTag:(NSString *)tag {
    NSRange spos;
    NSRange epos;
    spos = [key rangeOfString:@"-----BEGIN RSA PRIVATE KEY-----"];
    if(spos.length > 0) {
        epos = [key rangeOfString:@"-----END RSA PRIVATE KEY-----"];
    }
    else {
        spos = [key rangeOfString:@"-----BEGIN PRIVATE KEY-----"];
        epos = [key rangeOfString:@"-----END PRIVATE KEY-----"];
    }
    if(spos.location != NSNotFound && epos.location != NSNotFound){
        NSUInteger s = spos.location + spos.length;
        NSUInteger e = epos.location;
        NSRange range = NSMakeRange(s, e-s);
        key = [key substringWithRange:range];
    }
    key = [key stringByReplacingOccurrencesOfString:@"\r" withString:@""];
    key = [key stringByReplacingOccurrencesOfString:@"\n" withString:@""];
    key = [key stringByReplacingOccurrencesOfString:@"\t" withString:@""];
    key = [key stringByReplacingOccurrencesOfString:@" "  withString:@""];

    // This will be base64 encoded, decode it.
    NSData *data = [[NSData alloc] initWithBase64EncodedString:key options:0];

    if(data == nil){
        return nil;
    }

    //a tag to read/write keychain storage
    NSData *d_tag = [NSData dataWithBytes:[tag UTF8String] length:[tag length]];

    // Delete any old lingering key with the same tag
    NSMutableDictionary *options = [
    @{
      BR kSecClass: BR kSecClassKey,
      BR kSecAttrKeyType: BR kSecAttrKeyTypeRSA,
      BR kSecAttrApplicationTag: d_tag,
    }
    mutableCopy];

    SecItemDelete(BRD options);

    // Add persistent version of the key to system keychain
    [options addEntriesFromDictionary:
    @{
      BR kSecValueData:data,
      BR kSecAttrKeyClass: BR kSecAttrKeyClassPrivate,
      BR kSecReturnPersistentRef: @YES,
    }];

    CFTypeRef persistKey = nil;
    OSStatus status = SecItemAdd(BRD options, &persistKey);
    if (persistKey != nil){
        CFRelease(persistKey);
    }
    if ((status != noErr) && (status != errSecDuplicateItem)) {
        return nil;
    }

    [options removeObjectForKey:BR kSecValueData];
    [options removeObjectForKey:BR kSecReturnPersistentRef];

    [options addEntriesFromDictionary:
    @{
      BR kSecReturnRef:@YES,
      BR kSecAttrKeyType:BR kSecAttrKeyTypeRSA,
    }];

    // Now fetch the SecKeyRef version of the key
    SecKeyRef keyRef = nil;
    status = SecItemCopyMatching(BRD options, (CFTypeRef *)&keyRef);
    if(status != noErr){
        return nil;
    }
    return keyRef;
}