界: API Abuse

API 是调用方和被调用方之间的约定。最常见的 API 滥用是由于调用方未能遵守此约定的终止导致的。例如，如果某个程序在调用 chroot() 后未能调用 chdir()，则违反了用于指定如何安全地更改活动根目录的约定。库滥用的另一个典型示例是期望被调用方向调用方返回可信的 DNS 信息。在这种情况下，调用方通过对被调用方行为做出某种假设（返回值可用于身份验证目的）滥用其 API。另一方也可能违反调用方-被调用方约定。例如，如果编码器子类化 SecureRandom 并返回一个非随机值，则将违反此约定。

Biometric Authentication: Missing Operation Message

Objective-C
Swift

Abstract

该应用程序在没有给出正当理由的情况下要求用户输入其指纹。

Explanation

根据 Apple 的政策，应用程序始终应向用户说明需要输入指纹的理由。如果未能做到这一点，可能会使用户感到困惑，甚至导致您的应用程序被 AppStore 拒绝。

示例 1：以下代码使用 Touch ID 验证用户，但未能提供正当理由来说明为何需要进行该验证：


    [context evaluatePolicy:LAPolicyDeviceOwnerAuthenticationWithBiometrics localizedReason:nil
        reply:^(BOOL success, NSError *error) {
            if (success) {
                NSLog(@"Auth was OK");
            } 
    }];

References

[1] David Thiel iOS Application Security: The Definitive Guide for Hackers and Developers No Starch Press

[2] Keychain and Authentication with Touch ID Apple

[3] https://developer.apple.com/reference/localauthentication/lacontext Apple

[4] Standards Mapping - CIS Azure Kubernetes Service Benchmark 1

[5] Standards Mapping - CIS Amazon Elastic Kubernetes Service Benchmark 4

[6] Standards Mapping - CIS Amazon Web Services Foundations Benchmark 3

[7] Standards Mapping - CIS Google Kubernetes Engine Benchmark normal

[8] Standards Mapping - General Data Protection Regulation (GDPR) Indirect Access to Sensitive Data

[9] Standards Mapping - OWASP Mobile 2024 M3 Insecure Authentication/Authorization

[10] Standards Mapping - OWASP Mobile Application Security Verification Standard 2.0 MASVS-AUTH-1, MASVS-AUTH-2

desc.structural.objc.biometric_authentication_missing_operation_message

Abstract

该应用程序在没有给出正当理由的情况下要求用户输入其指纹。

Explanation


    context.evaluatePolicy(LAPolicy.DeviceOwnerAuthenticationWithBiometrics, localizedReason: "", reply: { (success, error) -> Void in
        if (success) {
            print("Auth was OK");
        }
        else {
            print("Error received: %d", error!);
        }
    })