Apa yang membuat item rantai kunci unik (di iOS)?

Pertanyaan saya menyangkut gantungan kunci di iOS (iPhone, iPad, ...). Saya pikir (tapi saya tidak yakin) bahwa penerapan gantungan kunci di bawah Mac OS X menimbulkan pertanyaan yang sama dengan jawaban yang sama.

iOS menyediakan lima jenis (kelas) item rantai kunci. Anda harus memilih salah satu dari lima nilai kunci kSecClassuntuk menentukan jenis:

kSecClassGenericPassword  used to store a generic password
kSecClassInternetPassword used to store an internet password
kSecClassCertificate      used to store a certificate
kSecClassKey              used to store a kryptographic key
kSecClassIdentity         used to store an identity (certificate + private key)

Setelah sekian lama membaca dokumentasi apel, blog, dan entri forum, saya menemukan bahwa jenis item gantungan kunci kSecClassGenericPasswordmendapatkan keunikannya dari atribut kSecAttrAccessGroup, kSecAttrAccountdan kSecAttrService.

Jika ketiga atribut dalam permintaan 1 sama dengan permintaan 2, Anda akan menerima item rantai kunci kata sandi umum yang sama, terlepas dari atribut lainnya. Jika satu (atau dua atau semua) atribut ini mengubah nilainya, Anda akan mendapatkan item yang berbeda.

Namun kSecAttrServicehanya tersedia untuk item jenis kSecClassGenericPassword, sehingga tidak dapat menjadi bagian dari "kunci unik" item jenis lain, dan tampaknya tidak ada dokumentasi yang menunjukkan dengan jelas atribut mana yang secara unik menentukan item rantai kunci.

Kode contoh di kelas "KeychainItemWrapper" dari "GenericKeychain" menggunakan atribut kSecAttrGenericuntuk membuat item menjadi unik, tetapi ini adalah bug. Dua entri dalam contoh ini hanya disimpan sebagai dua entri berbeda, karena keduanya kSecAttrAccessGroupberbeda (satu memiliki kumpulan grup akses, yang lain membiarkannya gratis). Jika Anda mencoba menambahkan kata sandi kedua tanpa grup akses, menggunakan kata sandi Apple KeychainItemWrapper, Anda akan gagal.

Jadi, tolong jawab pertanyaan saya:

• Apakah benar, bahwa kombinasi kSecAttrAccessGroup, kSecAttrAccountdan kSecAttrServicemerupakan "kunci unik" dari item rantai kunci yang kSecClass-nya kSecClassGenericPassword?
• Atribut mana yang membuat item rantai kunci unik jika kSecClasstidak kSecClassGenericPassword?

Kunci utama adalah sebagai berikut (berasal dari file open source dari Apple, lihat Schema.m4 , KeySchema.m4 dan SecItem.cpp ):

• Untuk item rantai kunci kelas kSecClassGenericPassword, kunci utamanya adalah kombinasi dari kSecAttrAccountdan kSecAttrService.
• Untuk item keychain kelas kSecClassInternetPassword, kunci utama adalah kombinasi kSecAttrAccount, kSecAttrSecurityDomain, kSecAttrServer, kSecAttrProtocol, kSecAttrAuthenticationType, kSecAttrPortdan kSecAttrPath.
• Untuk item rantai kunci kelas kSecClassCertificate, kunci utamanya adalah kombinasi dari kSecAttrCertificateType, kSecAttrIssuerdan kSecAttrSerialNumber.
• Untuk item keychain kelas kSecClassKey, kunci utama adalah kombinasi kSecAttrApplicationLabel, kSecAttrApplicationTag, kSecAttrKeyType, kSecAttrKeySizeInBits, kSecAttrEffectiveKeySize, dan pencipta, mulai tanggal dan tanggal akhir yang tidak terpapar oleh SecItem belum.
• Untuk item rantai kunci kelas kSecClassIdentitysaya belum menemukan info di bidang kunci utama di file sumber terbuka, tetapi karena identitas adalah kombinasi dari kunci pribadi dan sertifikat, saya menganggap kunci utama adalah kombinasi dari kunci utama bidang untuk kSecClassKeydan kSecClassCertificate.

Karena setiap item rantai kunci termasuk dalam grup akses rantai kunci, rasanya grup akses rantai kunci (bidang kSecAttrAccessGroup) adalah bidang yang ditambahkan ke semua kunci utama ini.

Saya terkena bug beberapa hari yang lalu (di iOS 7.1) yang terkait dengan pertanyaan ini. Saya menggunakan SecItemCopyMatchinguntuk membaca kSecClassGenericPassworditem dan itu terus kembali errSecItemNotFound(-25300) meskipun kSecAttrAccessGroup, kSecAttrAccountdan kSecAttrServicesemuanya cocok dengan item di gantungan kunci.

Akhirnya saya menemukan bahwa kSecAttrAccessibleitu tidak cocok. Nilai di rantai kunci dipegang pdmn = dk ( kSecAttrAccessibleAlways), tetapi saya menggunakan kSecAttrAccessibleWhenUnlocked.

Tentu saja nilai ini tidak diperlukan di tempat pertama untuk SecItemCopyMatching, tetapi OSStatusbukan errSecParamatau errSecBadReqmelainkan hanya errSecItemNotFound(-25300) yang membuatnya agak sulit untuk ditemukan.

Untuk SecItemUpdatesaya telah mengalami masalah yang sama tetapi dalam metode ini bahkan menggunakan yang sama kSecAttrAccessibledalam queryparameter tidak bekerja. Hanya menghapus sepenuhnya atribut ini yang memperbaikinya.

Saya harap komentar ini akan menghemat beberapa momen debugging yang berharga bagi sebagian dari Anda.

Jawaban yang diberikan oleh @Tammo Freese sepertinya benar (tapi tidak menyebut semua kunci utama). Saya sedang mencari beberapa bukti di dokumentasi. Akhirnya ketemu:

Dokumentasi Apple menyebutkan kunci utama untuk setiap kelas rahasia (kutipan di bawah):

Sistem menganggap item sebagai duplikat untuk rantai kunci tertentu ketika rantai kunci tersebut sudah memiliki item dari kelas yang sama dengan kumpulan kunci utama gabungan yang sama. Setiap kelas item rantai kunci memiliki kumpulan kunci utama yang berbeda, meskipun beberapa atribut digunakan secara umum di semua kelas. Secara khusus, jika berlaku, kSecAttrSynchronizable dan kSecAttrAccessGroup adalah bagian dari kumpulan kunci utama . Kunci utama tambahan per kelas tercantum di bawah ini:

• Untuk kata sandi umum, kunci utama mencakup kSecAttrAccount dan kSecAttrService.
• Untuk kata sandi internet, kunci utama termasuk kSecAttrAccount, kSecAttrSecurityDomain, kSecAttrServer, kSecAttrProtocol, kSecAttrAuthenticationType, kSecAttrPort, dan kSecAttrPath.
• Untuk sertifikat, kunci utama mencakup kSecAttrCertificateType, kSecAttrIssuer, dan kSecAttrSerialNumber.
• Untuk item kunci, kunci utama mencakup kSecAttrKeyClass, kSecAttrKeyType, kSecAttrApplicationLabel, kSecAttrApplicationTag, kSecAttrKeySizeInBits, dan kSecAttrEffectiveKeySize.
• Untuk item identitas, yang merupakan sertifikat dan kunci pribadi yang digabungkan bersama, kunci utama sama dengan untuk sertifikat. Karena kunci pribadi dapat disertifikasi lebih dari sekali, keunikan sertifikat menentukan identitasnya.

Berikut ini adalah informasi berguna lainnya tentang keunikan item rantai kunci, yang dapat ditemukan di bagian "Pastikan Kemampuan Pencarian" di halaman dokumen Apple ini .

Untuk dapat menemukan item tersebut nanti, Anda akan menggunakan pengetahuan Anda tentang atributnya. Dalam contoh ini, server dan akun adalah karakteristik pembeda item. Untuk atribut konstan (di sini, server), gunakan nilai yang sama selama pencarian. Sebaliknya, atribut akun bersifat dinamis, karena memiliki nilai yang diberikan oleh pengguna pada waktu proses. Selama aplikasi Anda tidak pernah menambahkan item serupa dengan atribut yang berbeda-beda (seperti kata sandi untuk akun berbeda di server yang sama), Anda dapat menghilangkan atribut dinamis ini sebagai parameter penelusuran dan sebagai gantinya mengambilnya bersama dengan item tersebut. Akibatnya, saat Anda mencari kata sandi, Anda juga mendapatkan nama pengguna yang sesuai.

Jika aplikasi Anda menambahkan item dengan atribut dinamis yang berbeda-beda, Anda memerlukan cara untuk memilih di antara mereka selama pengambilan. Salah satu opsinya adalah mencatat informasi tentang item dengan cara lain. Misalnya, jika Anda menyimpan catatan pengguna dalam model Data Inti, Anda menyimpan nama pengguna di sana setelah menggunakan layanan rantai kunci untuk menyimpan bidang kata sandi. Kemudian, Anda menggunakan nama pengguna yang diambil dari model data Anda untuk mengkondisikan pencarian kata sandi.

Dalam kasus lain, mungkin masuk akal untuk mengkarakterisasi item lebih lanjut dengan menambahkan lebih banyak atribut. Misalnya, Anda mungkin menyertakan kSecAttrLabelatribut dalam kueri penambahan asli, memberikan string yang menandai item untuk tujuan tertentu. Kemudian Anda akan dapat menggunakan atribut ini untuk mempersempit pencarian Anda nanti.

Item kelas kSecClassInternetPassworddigunakan dalam contoh ini, tetapi ada catatan yang mengatakan:

Layanan rantai kunci juga menawarkan kelas item kSecClassGenericPassword terkait. Kata sandi umum dalam banyak hal serupa dengan kata sandi Internet, tetapi tidak memiliki atribut tertentu yang khusus untuk akses jarak jauh (misalnya, mereka tidak memiliki atribut kSecAttrServer). Jika Anda tidak membutuhkan atribut tambahan ini, gunakan kata sandi umum.