آموزش نوشتن کد امن در iOS از Infosec - آخرین آپدیت

سرفصل ها و درس ها

مقدمه Introduction

• خوش‌آمدگویی به دوره کدنویسی امن در iOS Welcome to secure coding in iOS

1. آشنایی با کدنویسی امن 1. Introduction to Secure Coding

• تمرین: ۱۰ مورد اول آسیب‌پذیری‌های موبایل OWASP، بخش اول Activity: OWASP top 10 mobile vulnerabilities, part 1

• بهترین روش‌های کلی توسعه در iOS iOS general development best practices

• مرور کلی امنیت iOS، بخش اول iOS security overview, part 1

• مرور کلی توسعه اپلیکیشن امن با Swift، بخش دوم Swift secure app development overview, part 2

• تمرین: ۱۰ مورد اول آسیب‌پذیری‌های موبایل OWASP، بخش سوم Activity: OWASP top 10 mobile vulnerabilities, part 3

• مرور کلی امنیت iOS، بخش دوم iOS security overview, part 2

• ضرورت کدنویسی امن The need for secure coding

• مرور کلی توسعه اپلیکیشن امن با Swift، بخش اول Swift secure app development overview, part 1

• تمرین: ۱۰ مورد اول آسیب‌پذیری‌های موبایل OWASP، بخش دوم Activity: OWASP top 10 mobile vulnerabilities, part 2

2. اعتبارسنجی ورودی‌ها 2. Input Validation

• تمرین: فیلتر کردن یک QR کد مخرب، بخش دوم Activity: Filtering a malicious QR code, part 2

• تمرین: محدود کردن مقدار با استفاده از Property Wrapper Activity: Value clamping with a property wrapper

• کاراکترهای خاص، بخش دوم Special characters, part 2

• حملات بین‌سایتی (Cross-site attacks) Cross-site attacks

• تمرین: نصب پادهای Alamofire و SwiftyJSON Activity: Installing Alamofire and SwiftyJSON pods

• محافظت از WebView WebView protection

• دسریالیزه کردن اشیا (Object deserialization) Object deserialization

• Property Wrapperها Property wrappers

• تزریق SQL (SQL injection)، بخش اول SQL injection, part 1

• تمرین: کار با رشته‌های فرمت (Format Strings) Activity: Playing with format strings

• پاک‌سازی ورودی‌ها (Input sanitization) Input sanitization

• کاراکترهای خاص، بخش اول Special characters, part 1

• حمله رشته فرمت، بخش دوم Format string attack, part 2

• تمرین: فیلتر کردن یک QR کد مخرب، بخش اول Activity: Filtering a malicious QR code, part 1

• تمرین: پاک‌سازی ورودی با Property Wrapper Activity: Sanitizing input with a property wrapper

• حمله رشته فرمت، بخش سوم Format string attack, part 3

• تمرین: عبارت‌های منظم (Regular expressions)، بخش دوم Activity: Regular expressions, part 2

• تمرین: غیرفعال کردن اصلاح خودکار (Autocorrection) Activity: Disabling autocorrection

• اصلاح خودکار و پر کردن خودکار Autocorrect and autofill

• تمرین: عبارت‌های منظم، بخش اول Activity: Regular expressions, part 1

• تمرین: کار امن با JSON، بخش اول Activity: Securely working with JSON, part 1

• تزریق SQL، بخش دوم SQL injection, part 2

• تمرین: حذف فاصله‌های خالی و خطوط جدید با Property Wrapper Activity: Trimming whitespace and newlines with a property wrapper

• تمرین: کار امن با JSON، بخش دوم Activity: Securely working with JSON, part 2

• تمرین: محافظت از کاربران در برابر UIWebView ناامن Activity: Protecting users against insecure UIWebView

• تمرین: عبارت‌های منظم، بخش سوم Activity: Regular expressions, part 3

• تمرین: پاک‌سازی ورودی، بخش اول Activity: Sanitizing input, part 1

• حمله رشته فرمت، بخش اول Format string attack, part 1

• بایت‌های تهی (Null bytes) Null bytes

• تکنیک‌های پاک‌سازی ورودی: عبارت‌های منظم، بخش دوم Input sanitization techniques: Regular expressions, part 2

• تزریق کد (Code injection) Code injection

• درک ریسک‌های ورودی Understanding input risks

• تمرین: بررسی حملات XSS Activity: Exploring XSS attacks

• تکنیک‌های پاک‌سازی ورودی: عبارت‌های منظم، بخش اول Input sanitization techniques: Regular expressions, part 1

• تمرین: پاک‌سازی ورودی، بخش دوم Activity: Sanitizing input, part 2

3. فساد حافظه (Memory Corruption) 3. Memory Corruption

• درک سرریز (Overflows) Understanding overflows

• مرور کلی حافظه iOS iOS memory overview

• تمرین: ایجاد یک سرریز بافر (Buffer Overflow) Activity: Creating a buffer overflow

• اشاره‌گرهای Swift (Pointers) Swift pointers

4. رمزنگاری 4. Encryption

• Core Data Core Data

• تمرین: تأیید نام کاربری و رمز عبور، بخش دوم Activity: Verifying a username and password, part 2

• مرور کلی ذخیره‌سازی در iOS iOS storage overview

• تمرین: افزودن Salt به هش رمز عبور Activity: Adding salt to a password hash

• تمرین: تولید مقادیر تصادفی Activity: Generating random values

• تمرین: ذخیره اسرار کاربر در Keychain Activity: Save user secrets in Keychain

• پایداری داده‌ها، بخش دوم Data persistence, part 2

• تمرین: هش کردن رمزهای عبور Activity: Hashing passwords

• Keychain Keychain

• تمرین: تأیید نام کاربری و رمز عبور، بخش اول Activity: Verifying a username and password, part 1

• تمرین: بررسی سیستم فایل iOS Activity: Exploring the iOS file system

• تمرین: آماده‌سازی برای رمزنگاری Activity: Preparing for encryption

• مرور کلی رمزنگاری، بخش دوم Encryption overview, part 2

• پایداری داده‌ها، بخش اول Data persistence, part 1

• تمرین: ذخیره نام کاربری و رمز عبور Activity: Saving a username and password

• مرور کلی رمزنگاری، بخش اول Encryption overview, part 1

• هشینگ (Hashing) Hashing

• تمرین: آماده‌سازی برای استفاده از Keychain Activity: Preparing to use Keychain

5. حفاظت از داده‌ها 5. Protecting Data

• تمرین: ایجاد یک استثنای HTTP Activity: Making an HTTP exception

• امنیت API API security

• تمرین: ذخیره کلید API در Keychain Activity: Storing an API key in Keychain

• ریسک‌های رایج داده‌ها، بخش اول Common data risks, part 1

• محافظت از فایل‌ها، بخش دوم Protecting files, part 2

• پس‌زمینه اپلیکیشن (App backgrounding) App backgrounding

• تمرین: ذخیره داده‌ها در دیتابیس Realm Activity: Saving data in a Realm database

• ریسک‌های رایج داده‌ها، بخش دوم Common data risks, part 2

• ارتباطات بین‌پردازشی (IPC)، بخش دوم Interprocess communications (IPC), part 2

• امنیت شبکه Network security

• محافظت از فایل‌ها، بخش اول Protecting files, part 1

• تمرین: انتقال امن اپلیکیشن به پس‌زمینه Activity: Securely backgrounding an app

• تمرین: جلوگیری از Race Conditions Activity: Preventing race conditions

• ارتباطات بین‌پردازشی (IPC)، بخش اول Interprocess communications (IPC), part 1

6. کنترل دسترسی 6. Access Control

• تمرین: ورود با بیومتریک Activity: Logging in with biometrics

• رمزهای یک‌بار مصرف (OTP) One-time passwords

• بیومتریک Biometrics

• Apple ID Apple ID

• تمرین: استفاده از رمز یک‌بار مصرف Activity: Using a one-time password

• احراز هویت (Authorization) Authorization

• تمرین: ورود با Apple ID Activity: Sign in with Apple ID

• تمرین: کنترل دسترسی مبتنی بر نقش (RBAC) Activity: Role-based access control

7. حفاظت از یکپارچگی نرم‌افزار و سیستم 7. Protecting Software and System Integrity

• تمرین: کار با کدهای خارجی Activity: Working with external code

• تشخیص جیل‌بریک (Jailbreak detection) Jailbreak detection

• درک ریسک‌های مرتبط با کدهای خارجی Understanding risks associated with external code

• مدیریت خطاها (Error handling) Error handling

• تحقیق در مورد آسیب‌پذیری‌های جدید New vulnerability research

• جمع‌بندی کدنویسی امن iOS Secure iOS coding roundup

• ثبت وقایع (Logging)، بخش دوم Logging, part 2

• ثبت وقایع (Logging)، بخش سوم Logging, part 3

• انواع تست‌ها Testing types

• تمرین: تشخیص دستگاه جیل‌بریک شده Activity: Detecting a jailbroken device

• تمرین: مدیریت خطاها Activity: Handling errors

• ثبت وقایع (Logging)، بخش اول Logging, part 1

جمع‌بندی Conclusion

• جمع‌بندی نهایی Conclusion