具有 SSL 客户端证书的 iPhone 应用程序

Question

我正在构建一个 iPhone 应用程序，需要使用客户端证书通过 https 访问 Web 服务。如果我将客户端证书（pkcs12 格式）放入应用程序包中，我就可以将其加载到应用程序中并进行 https 调用（很大程度上要感谢 stackoverflow.com）。

但是，我需要一种无需任何证书即可分发应用程序的方法，并将其留给用户提供自己的证书。我想我只需指示用户在 iphone 的配置文件中导入证书（设置 -> 常规 -> 配置文件）即可做到这一点，这是通过在 Mail.app 中打开 .p12 文件获得的，然后我将访问我的应用程序中的该项目。我希望配置文件中的证书可以通过钥匙串 API 获得，但我想我错了。

1) 有没有办法访问我已经在我的应用程序的 iPhone 配置文件中加载的证书？

2) 在我的应用程序中加载用户指定的证书还有哪些其他选项？我唯一能想到的就是提供一些界面，用户可以在其中提供他的 .p12 证书的 URL，然后我可以将其加载到应用程序的钥匙串中以供以后使用，但这并不完全是用户友好的。我正在寻找允许用户将证书放在手机上（通过电子邮件发送给自己）然后将其加载到我的应用程序中的东西。

Answer 1

我已经尝试过：

NSString *thePath = [[NSBundle mainBundle] pathForResource:@"certificate" ofType:@"p12"]; 
NSData *PKCS12Data = [[NSData alloc] initWithContentsOfFile:thePath]; 
CFDataRef inPKCS12Data = (CFDataRef)PKCS12Data; 
CFStringRef password = CFSTR("pass"); 
const void *keys[] = { kSecImportExportPassphrase }; 
const void *values[] = { password }; 
CFDictionaryRef optionsDictionary = CFDictionaryCreate(NULL, keys, values, 1, NULL, NULL); 
CFArrayRef items = CFArrayCreate(NULL, 0, 0, NULL); 
SecPKCS12Import(inPKCS12Data, optionsDictionary, &items); 

inPKCS12Data 是正确的，但项目是空的。怎么了？

Answer 2

我通过使应用程序的文档文件夹可通过 iTunes 访问来为最近的应用程序完成此操作。然后，我们的用户会被指示将生成的密钥（p12 格式文件）拖到 iTunes 中我们应用程序的文档面板中。当应用程序启动时，它会检查 p12 文件是否存在，如果存在，则将该文件导入到钥匙串中。

这不是最简单的过程，但它是最安全的，因为您没有通过电子邮件发送私钥文件。

Answer 3

如果 .p12 文件不太大，您可以使用 Base64 对其进行编码，然后使用自定义 URL 方案在电子邮件中嵌入链接，例如：

myapp://certificate/<base 64 data>

用户单击该链接，您的应用程序会将证书保存在某处以供将来使用。只需确保 iPhone 上的 Mail.app 不会损坏电子邮件即可。

Answer 4

Apple 确实限制其自己的应用程序/服务（例如 WiFi、VPN、邮件等）使用设备范围的密钥/证书。第三方应用程序无法使用任何这些密钥/证书（无需越狱）。但是，应用程序可以在应用程序内钥匙串中导入、存储和使用密钥和证书。此外，您可以使用 钥匙串访问组功能。

我最近发表了一篇题为 通过 mCMS 轻松实现应用内移动证书，这可能对您有所帮助。我们公司正在开发一个 API，可以轻松支持应用内证书，直接从基于 Microsoft 的 PKI 获取。我们的解决方案还提供设备上密钥生成功能，而不是在另一台计算机上生成 P12 并尝试将其导入您的应用程序。

Answer 5

如果您使用 AirWatch 进行应用程序分发，他们的 SDK 可以提供从您的证书颁发机构向您注册的设备配置证书的功能。这允许您配置证书，然后从应用程序的代码访问它们。

Answer 6

在钥匙串中查找证书 适合您吗？

Answer 7

天啊，这让我想起了 2009 年 10 月/11 月的痛苦回忆。我能够成功地让客户端证书发挥作用，但我必须将 libcurl 移植到 iPhone（这并不容易，因为 NDA 仍然有效）时间）。

我已经一年多没有做过 iPhone 应用程序开发了，所以我不知道改变了多少，但如果我是你，我会首先尝试在没有客户端证书的情况下度过难关，如果你绝对必须拥有它们，你可以将 libcurl 与 PEM 格式的证书结合使用。