[ios] 앱 보안 취약점 분석

22 Dec 2023

본 문서에서는 iOS 앱의 보안 취약점을 식별하고 분석하는 방법에 대해 알아보겠습니다.

Storing sensitive data

iOS 앱에서 민감한 정보를 안전하게 저장하는 것은 매우 중요합니다. 보안에 취약한 데이터 저장의 경우, 공격자가 사용자의 개인 정보를 탈취할 수 있는 가능성이 있습니다. 데이터를 저장할 때에는 Keychain Services API를 사용하여 안전하게 저장하는 것이 좋습니다.

예시 코드:

let password = "mypassword"
let service = "myService"
let account = "myAccount"
let data = password.data(using: .utf8)!
let query: [String: Any] = [
    kSecClass as String: kSecClassGenericPassword,
    kSecAttrService as String: service,
    kSecAttrAccount as String: account,
    kSecValueData as String: data
]
let status = SecItemAdd(query as CFDictionary, nil)

참고 문헌: Keychain Services

Insecure network communication

네트워크 통신 중에 안전하지 않은 방식으로 데이터를 전송하면, 중간자 공격 등의 위험에 노출될 수 있습니다. iOS에서는 안전한 네트워크 통신을 위해 App Transport Security (ATS)를 활용하는 것이 좋습니다.

예시 코드:

<key>NSAppTransportSecurity</key>
<dict>
	<key>NSAllowsArbitraryLoads</key>
	<false/>
</dict>

참고 문헌: App Transport Security (ATS) Overview

Code injection

앱 코드에 대한 외부로부터의 악의적인 간섭을 막아야 합니다. 안전한 코드 실행을 위해 Secure Coding Guidelines for iOS에 제시된 사례들을 준수하는 것이 중요합니다.

예시 코드:

guard let url = URL(string: "http://example.com") else { return }
let task = URLSession.shared.dataTask(with: url) { (data, response, error) in
    // 처리 코드
}
task.resume()

참고 문헌: Secure Coding Guidelines

iOS 앱의 보안 취약점 분석을 위해 위의 항목들을 신중하게 검토하고 보완해야 합니다. iOS 보안 취약점을 이해하고 방어하기 위한 노력은 앱의 신뢰성과 사용자의 개인 정보 보호에 있어 매우 중요합니다.

목차

Storing sensitive data

Insecure network communication

Code injection