目标c-苹果钥匙链存储客户端标识，这样只有我的应用程序才能访问它

Question

目标

我需要以安全的方式将客户端身份存储在OS X应用程序上，这样只有我的应用程序才能访问它。没有提示请求权限。

问题

当我尝试存储客户端身份时，问题立即出现。以下是代码示例（到目前为止我已经绑定了什么）：

- (BOOL)saveClientIdentity:(SecIdentityRef)clientIdentity error:(NSError**) error
{
    NSDictionary *attributes = @{
        (__bridge id)kSecAttrAccessible:(__bridge id)kSecAttrAccessibleAlwaysThisDeviceOnly,
        (__bridge id)kSecValueRef:(__bridge id)clientIdentity,
        (__bridge id)kSecAttrApplicationTag:[kMyKeychainAttrApplicationTag dataUsingEncoding: NSUTF8StringEncoding],
        (__bridge id)kSecAttrAccessGroup:kMyKeychainAttrAccessGroup
    };
    OSStatus status = SecItemAdd((__bridge CFDictionaryRef)attributes, NULL);
    // status == -25299
    …
}

我不断得到代码-25299和工具expalint的问题：

$ security error -25299
Error: 0xFFFF9D2D -25299 The specified item already exists in the keychain.

所以它试图覆盖全局客户端标识（我从未成功地为这个应用程序编写过客户端标识，所以不应该有这样的冲突），我不知道该怎么做。它必须是专用的，仅用于此应用程序。

我验证了各自加载代码的情况。它加载了我的开发人员身份，我不希望这样。

- (SecIdentityRef)clientIdentity
{
    NSDictionary *attributes =
    @{
      (__bridge id)kSecClass:(__bridge id)kSecClassIdentity,
      (__bridge id)kSecAttrAccessible:(__bridge id)kSecAttrAccessibleAlwaysThisDeviceOnly,
      (__bridge id)kSecAttrApplicationTag:[kMyKeychainAttrApplicationTag dataUsingEncoding: NSUTF8StringEncoding],
      (__bridge id)kSecAttrAccessGroup:kMyKeychainAttrAccessGroup
      };
    CFTypeRef universalResult = NULL;
    OSStatus status = SecItemCopyMatching((__bridge CFDictionaryRef)attributes, &universalResult);
    SecIdentityRef result = (SecIdentityRef)universalResult;
    if (result)
    {
        CFAutorelease(result);
    }
    if (status != noErr)
    {
        NSLog(@"Failed to load client identity: %@", NSErrorFromStatusErrorCode(status));
    }
    return result;
}

备注

我需要为iOS使用相同的代码，但这里应该没有问题，因为默认情况下，iOS钥匙链不会在应用程序之间共享。

Answer 1

我找到了不错的解决方案。诀窍是创建自定义密钥链，然后将客户端标识存储在该密钥链中。

所以基本上是有树阶的。

1. 首先创建或打开自定义密钥链：

   NSString *keychainpath  = self.customKeychainPath;
   unsigned char password[SHA_DIGEST_LENGTH];
   GenerateCustomKeychainPassword(password);
   OSStatus status = SecKeychainCreate(keychainpath.UTF8String,
                                       SHA_DIGEST_LENGTH,
                                       password,
                                       NO,
                                       NULL,
                                       &customKeychain);
   if (status == errSecDuplicateKeychain)
   {
       status = SecKeychainOpen(keychainpath.UTF8String, &customKeychain);
       if (status == errSecSuccess)
       {
           status = SecKeychainUnlock(customKeychain,
                                      SHA_DIGEST_LENGTH,
                                      password,
                                      TRUE);
           if (status != errSecSuccess)
           {
               NSLog(@"%s Failed to unlock custom keychain: %@",
                          __PRETTY_FUNCTION__, NSErrorFromStatusErrorCode(status));
           }
       }
   }
   else if (status != errSecSuccess)
   {
       NSLog(@"%s Failed to unlock custom keychain: %@",
                  __PRETTY_FUNCTION__, NSErrorFromStatusErrorCode(status));
   }
   

2. 然后将客户端身份添加到密钥链

   OSStatus status = errSecSuccess;
   CFTypeRef  persistent_ref = NULL;
   NSDictionary *dict = @{
                          (id)kSecValueRef:(id)secItem,
                          (id)kSecReturnPersistentRef:(id)kCFBooleanTrue,
   #if !TARGET_OS_IPHONE
                          (id)kSecUseKeychain:(__bridge id)customKeychain,
   #endif
                          };
   status = SecItemAdd((CFDictionaryRef)dict, &persistent_ref);
   NSCAssert(status != errSecParam, @"Wrong contents of dictionary");
   if (status == errSecDuplicateItem)
   {
       NSLog(@"%s Item: %@ already exists", __PRETTY_FUNCTION__, secItem);
       return NULL;
   }
   return (CFDataRef)persistent_ref;
   

3. 并从钥匙链中读取项目（persistent_ref可以存储在用户默认值中）

   NSDictionary *dict = @{
                          (id)kSecClass:(__bridge id)itemType,//kSecClassIdentity,
                          (id)kSecReturnRef:(id)kCFBooleanTrue,
                          (id)kSecValuePersistentRef:persistantRef,
   #if !TARGET_OS_IPHONE
                          (id)kSecUseKeychain:(__bridge id)customKeychain,
   #endif
                          };
   OSStatus status =  SecItemCopyMatching((CFDictionaryRef)dict, &result);
   NSCAssert(status != errSecParam, @"Invalid arguments");
   return result;
   

Answer 2

我在SSKeychain方面取得了很多成功，最近有人反对使用SAMKeychain。它适用于iOS和Mac，因此它也应该解决您的跨平台问题。