简化本地授权流程

简化本地授权流程

了解如何借助 LocalAuthentication 中最新推出的授权 API，以保护用户数据的隐私和安全。我们将介绍 LocalAuthentication 如何对您 App 中的密码、密钥和其他敏感资源授权访问，同时降低对常见本地授权方法 (如触控 ID 和面容 ID) 的安全性和可用性的依赖和复杂程度。

资源
下载

♪ ♪
Felix Acero: 大家好我叫 Felix Acero 是一名软件工程师供职于安全工程与架构团队在本视频中我将向您展示如何使用 LocalAuthentication 框架来改进 App 身份验证和授权流我们将首先了解身份验证（Authentication）和授权（Authorization）的一般概念以及它们如何应用于您的 App 然后我们将回顾现有的 LocalAuthentication API 尤其是 LAContext 如何帮助您实现广泛的授权方案最后我们将看到今年添加到 LocalAuthentication 的新 API 如何帮助您进一步简化授权代码
那么我们先来说说身份验证和授权身份验证和授权是不同但密切相关的安全概念一方面身份验证是验证用户身份的行为另一方面授权是验证是否允许给定用户对具体资源执行特定操作的行为综上所述我们可以看到由于我们首先需要验证用户是否就是他们所说的那个人然后才能评估他们可以使用哪些资源和操作因此我们可以说身份验证实际上启用了授权为了帮助说明这些概念我们来看一个具体示例其中涉及由您的 App 管理的公共安全资源例如 Secure Enclave 密钥
Secure Enclave 密钥是一种特殊类型的非对称密钥它绑定到特定设备并受到与主处理器隔离的基于硬件的密钥管理器的保护这些密钥的特别之处在于当您在 Secure Enclave 中存储密钥时您实际上从未处理过该密钥而是指示 Secure Enclave 使用它执行操作 Secure Enclave 密钥可以与访问控制列表或 ACL 相关联访问控制列表指定了执行特定操作所需满足的要求如对 blob 进行签名或解密
它们可以指定给定项何时可用例如在设备解锁后以及允许执行某些操作所需的身份验证要求在本例中假设您的 App 希望通过生物认证来保护其密钥的签名和解密操作同时确保密钥仅在设备解锁后可用现在让我们看看涉及此密钥的签名操作的授权流是什么样子的
首先 App 发出使用密钥对 blob 进行签名的请求
然后在验证 App 是否可以访问密钥后系统继续识别签名操作的授权要求在这种情况下签名操作需要当前注册用户进行成功的生物认证然后系统将通过标准 UI 引导用户完成生物认证身份验证成功后系统将验证是否已满足所有剩余的授权要求然后最终执行签名操作并将签名的 blob 返回给您的 App
我们来分解一下这个流程中涉及的主要组件看看它们如何适应我们最初的定义首先我们有一个资源 Secure Enclave 密钥其次我们有一个可以用密钥执行的操作第三我们有一组要求其中包括指定允许执行操作的人员以及应用于验证其身份的身份验证方法将此示例的参数插入到我们的定义中我们可以看到对于身份验证来说是否是正确用户的问题是通过生物认证来回答的而对于授权是否允许用户使用私钥进行签名操作的问题是通过验证访问控制列表中指定的要求来回答的现在我们已经在较高的层级上了解了它是如何工作的我们可以看看如何使用当前的 LocalAuthentication API 来实现这样的流程让我们首先快速回顾一下 LAContext 提供的功能它是框架的核心组件之一 LAContext 可用于评估用户的身份它在需要生物特征或密码验证时处理用户交互它还与 Secure Enclave 连接以实现对生物特征数据的安全管理从这个角度来看 LAContext 可用于支持您的身份验证用例 LAContext 也可以与其他框架结合使用以支持授权流例如您可以用它来评估 AccessControl 列表就像我们在前面的例子中看到的那样我们来仔细看看我们需要做的第一件事是访问与我们的私钥相关联的 ACL 我们可以在 Security 框架提供的 SecItemCopyMatching API 的帮助下做到这一点确保在查询中提供 ReturnAttributes 密钥
一旦我们获得对访问控制列表的访问权我们就可以直接使用 LAContext 和 evaluateAccessControl API 对其进行评估这种方法给您带来的最大好处是它可以让您在 App 中决定提示用户进行此授权的正确时机和正确位置在这种情况下由于访问 AccessControl 列表要求对签名操作进行生物认证 LAContext 将显示熟悉的 FaceID 或 TouchID UI
一旦 ACL 在我们的 LAContext 中得到授权我们就可以将其作为查询的一部分来获取对密钥的引用我们通过将 LAContext 附加到 UseAuthenticationContext 密钥下的 SecItem 查询来实现这一点
通过将 LAContext 绑定到私钥引用我们可以确保执行签名操作不会触发另一个身份验证同时允许操作在没有不必要提示的情况下继续进行这些绑定还意味着在 LAContext 失效之前之后的签名不需要额外的用户交互
LAContext 提供了很大的灵活性它允许您控制授权流中涉及的每个步骤和参数它可以与其他框架如 Security 框架结合使用这反过来又解锁了广泛的用例然而这种多功能性是以更高的代码复杂性为代价的需要您仔细编排几个框架提供的 API 根据您的使用情况 LAContext 可能是适合您的工具尤其是当您的 App 的主要价值主张要求对密钥秘密上下文和访问控制列表进行底层访问时然而如果您的 App 需要的只是授权访问内容或敏感资源的方式那么您可能想用一个更简单的 API 来权衡这种灵活性这就把我们带到了最后一个话题简化您的 App 作为 iOS 16 和 macOS 13 的新功能 LocalAuthentication 引入了更高层级的以授权为中心的 API 新的 API 建立在 LocalAuthentication 中的现有概念例如 LAContext 之上旨在简化常见授权流的实施让您可以将所有精力集中在您的 App 的核心价值主张上新 API 引入的最重要的抽象类是 LARight
您可以给 LARight 提供的最简单用例是帮助您对 App 定义的资源授权操作例如您可以使用权限来帮助您访问 App 的用户配置文件部分首先需要您的用户进行成功的生物认证
默认情况下权限受到一组身份验证要求的保护允许用户使用 Touch ID FaceID Apple Watch 或它们的设备密码进行身份验证这取决于它们使用的设备
您还可以选择将您的权限与更细粒度的需求相关联这允许您进一步限制身份验证的方法让我们看看如何在代码中使用 LARights
我们需要做的第一件事是实例化我们的权利我们通过指定它的需求来做到这一点在这种情况下我们的登录权限将要求用户使用生物特征或提供设备密码进行身份验证然后我们继续验证当前用户是否可以获得登录权限我们使用这些信息来确定我们是否可以继续登录操作或者我们是否需要将用户重定向到我们 App 的公共部分最后我们可以继续实际的授权操作提供一个本地化的用户可以在授权 UI 中看到的原因
当以这种方式授权权利时将显示一个全新的系统驱动的 UI UI 在 App 窗口中呈现并为用户提供相关信息帮助他们了解操作的来源和目的我们相信新的外观将允许您精心设计与 App 无缝集成的授权流并为用户提供更多上下文和信息
现在我们已经了解了如何创建和授权一个权利让我们进一步研究它的生命周期权利以未知状态开始其生命周期一旦您的 App 发出 authorize() 请求权限的状态就会更改为授权此时用户将看到我们在上一张幻灯片中看到的授权 UI
根据操作的成功或失败权限可以转换为授权或未授权状态这是您的 App 最重要的状态转换最后权限也可以从授权状态转移到未授权状态当您的 App 在右边显式发出取消授权请求时或者当右边的实例被释放时就会发生这种情况
请务必保留对您的权利的强引用以维护其授权状态
取消权限授权后您的 App 可以继续发出授权请求以重新开始该周期可以查询和观察之前的所有状态转换如果您有权访问 LARight 实例则可以直接查询其状态属性您还可以使用 KVO 或 Combine 来观察所有状态转换此外如果您的 App 处理多个权限那么您可以通过侦听 didBecomeAuthorized 和 didBecomeUnauthorized 通知从一个位置观察所有权限的状态这些通知会在检测到授权状态更改后发布到默认 NotificationCenter
在继续之前让我们回到我们的示例添加一个注销操作来取消登录权限通过这种操作我们可以保证用户下次登录时需要新的授权
到目前为止我们已经了解了如何使用正确的实例来授权对 App 定义的资源的操作我们还了解了这些权限的生命周期和状态最终是如何与运行时联系在一起的这意味着在 App 的每个会话上您都需要正确地实例化和配置这些权限那么让我们看看如何保持权限以及这为您的 App 带来了什么样的可能性
LARights 可以在权利存储的帮助下持久化
持久化后权限由唯一的 Secure Enclave 密钥支持该密钥受访问控制列表或 ACL 保护该列表或 ACL 与权限的授权要求相匹配这种方法帮助我们确保授权需求在权利被持久化之后仍然是不可变的
您还可以访问支持您权限的私钥并使用它执行受保护的加密操作如解密签名和密钥交换
相应的公钥也是可访问的可以用于执行加密和签名验证等操作因为这是一个公钥所以您还可以导出与其关联的字节
只有在成功授权权限后才允许私钥操作相比之下总是允许公钥操作
当坚持您的权利时您也有机会存储一个单一的不变的秘密该秘密还与符合您权限授权要求的访问控制列表相关联并且只有在权限授权后才能访问该秘密
总之 LAPersistedRights 是在权利存储的帮助下创建的它们只配置一次其授权要求是不变的因为它们是存储的所以可以在 App 的不同会话中使用在内部它们绑定到特定设备并由唯一的 Secure Enclave 密钥支持该密钥可用于执行不同的加密操作具体取决于权限的授权状态最后它们可以用来保护一个单一的不可更改的秘密该秘密只有在授权后才可用现在我们已经了解了 PersistedRights 提供的一些功能让我们看看它们如何帮助我们实现我们在演示开始时讨论的场景我们希望在该场景中授权签名操作我们首先实例化一个常规权限指定其授权要求在这种情况下我们希望确保该权利仅授予在创建我们的权利时在设备中具有生物特征注册的用户因此我们使用 biometryCurrentSet 要求
然后我们可以在权利存储的帮助下持久化权限提供唯一标识符下次我们需要在 App 的未来会话中获取权限时这个标识符将非常有用
一旦权限被持久化我们就可以立即访问它的公钥并开始用它执行不受保护的操作而不需要显式授权在这个例子中我们只是导出它的公共字节
稍后当需要执行签名操作时我们可以使用在创建过程中提供的唯一标识符从存储中检索我们的权利然后我们可以通过我们右边的授权操作对当前用户进行授权此时系统将引导用户完成身份验证过程并验证是否满足所有授权要求
在权限被授权后我们可以使用它的私钥来执行受保护的加密操作在这种情况下我们使用私钥对 App 后端服务器发出的质询进行签名总结一下我们讨论了身份验证和授权的通用概念之间存在的关系特别是身份验证如何启用授权我们讨论了 LAContext 提供的一些特性以及它如何与 Security 等框架结合以解锁非常强大和可扩展的授权流程最后我们研究了新添加的 LARight 如何帮助您简化代码以实现某些授权用例我们邀请您查看 App 中 LocalAuthentication 的现有用法并考虑我们今天讨论的某些功能是否可以帮助您简化代码同时仍然保护用户的隐私和安全谢谢

4:58 - LAContext (authorize a signature operation 1)

let query: [String: Any] = [
    kSecClass as String: kSecClassKey,
    kSecAttrTokenID as String: kSecAttrTokenIDSecureEnclave,
    kSecAttrApplicationTag as String: "com.example.app.key",
    kSecReturnAttributes as String: true,
]

var item: CFTypeRef? = nil
guard SecItemCopyMatching(query as CFDictionary, &item) == errSecSuccess, let attrs = item as? NSDictionary, let accessControl = attrs[kSecAttrAccessControl] else {
    throw .aclNotFound
}

5:15 - LAContext (authorize a signature operation 2)

let context = LAContext()
try await context.evaluateAccessControl(accessControl as! SecAccessControl, 
                      operation: .useKeySign, 
                       localizedReason: "Authentication is required to proceed")

5:44 - LAContext (authorize a signature operation 3)

let query: [String: Any] = [
    kSecClass as String: kSecClassKey,
    kSecAttrTokenID as String: kSecAttrTokenIDSecureEnclave,
    kSecAttrApplicationTag as String: "com.example.app.key",
    kSecReturnRef as String: true,
    kSecUseAuthenticationContext as String: context
]

var item: CFTypeRef? = nil
guard SecItemCopyMatching(query as CFDictionary, &item) == errSecSuccess, item != nil else { 
    throw .keyNotFound
}

6:00 - LAContext (authorize a signature operation 4)

let privateKey = item as! SecKey

var error: Unmanaged<CFError>?
guard let sgt = SecKeyCreateSignature(privateKey, self.algorithm, blob, &error) as Data? else {
    throw .signatureFailure
}

8:28 - LA Right (basic usage)

// LARight: Basic usage

func login() async {
   self.loginRight = LARight(requirement: .biometry(fallback: .devicePasscode))
   do {
       try await loginRight.checkCanAuthorize()
   } catch {
       navigateTo(section: .public)
       return
   }
   do {
      try await self.loginRight.authorize(localizedReason: self.localizedReason)
 navigateTo(section: .protected)
   } catch {
      showError(.authenticationRequired)
   }
}

11:01 - LARight (logout and deauthorization)

// LARight: Basic usage

func login() async {
   self.loginRight = LARight(requirement: .biometry(fallback: .devicePasscode))
   // ...
   do {
       try await self.loginRight.authorize(localizedReason: self.localizedReason)
  navigateTo(section: .protected)
   } catch {
       showError(.authenticationRequired)
   }
}

func logout() async {   
   await self.loginRight.deauthorize()
}

13:44 - LAPersistedRight

// LAPersistedRight: Retrieval and private key usage

func generateClientKeys() async throws -> Data {
    let login2FA = LARight(requirement: .biometryCurrentSet)
    let persisted2FA = try await LARightStore.shared.saveRight(login2FA, identifier: "2fa")
    return try await persisted2FA.key.publicKey.bytes
}

func signChallenge(_ challenge: Data, algorithm: SecKeyAlgorithm) async throws -> Data {
    let persisted2FA = try await LARightStore.shared.right(forIdentifier: "2fa")
    let localizedReason = "Biometric authentication is required to proceed"
    try await persisted2FA.authorize(localizedReason: localizedReason)
    return try await persisted2FA.key.sign(challenge, algorithm: algorithm)
}

正在查找特定内容？在上方输入一个主题，就能直接跳转到相应的精彩内容。

提交你查询的内容时出现错误。请检查互联网连接，然后再试一次。

资源