Apple також пропонує інший спосіб аутентифікації, якщо підключений процес має дозволи на виклик відкритого методу XPC.
Коли додаток потребує виконання дій від імені привілейованого користувача, замість запуску програми як привілейованого користувача, зазвичай він встановлює як root HelperTool як XPC сервіс, який може бути викликаний з програми для виконання цих дій. Однак, програма, що викликає сервіс, повинна мати достатню авторизацію.
ShouldAcceptNewConnection завжди YES
Приклад можна знайти в EvenBetterAuthorizationSample. У App/AppDelegate.m він намагається підключитися до HelperTool. А в HelperTool/HelperTool.m функція shouldAcceptNewConnectionне перевірятиме жодну з вимог, зазначених раніше. Вона завжди повертатиме YES:
- (BOOL)listener:(NSXPCListener *)listener shouldAcceptNewConnection:(NSXPCConnection *)newConnection
// Called by our XPC listener when a new connection comes in. We configure the connection
// with our protocol and ourselves as the main object.
{
assert(listener == self.listener);
#pragma unused(listener)
assert(newConnection != nil);
newConnection.exportedInterface = [NSXPCInterface interfaceWithProtocol:@protocol(HelperToolProtocol)];
newConnection.exportedObject = self;
[newConnection resume];
return YES;
}
Для отримання додаткової інформації про те, як правильно налаштувати цю перевірку:
Однак, є деяке авторизація, яка відбувається, коли викликається метод з HelperTool.
Функція applicationDidFinishLaunching з App/AppDelegate.m створить порожню авторизаційну ссилку після запуску програми. Це завжди повинно працювати.
Потім вона спробує додати деякі права до цієї авторизаційної ссилки, викликавши setupAuthorizationRights:
- (void)applicationDidFinishLaunching:(NSNotification *)note
{
[...]
err = AuthorizationCreate(NULL, NULL, 0, &self->_authRef);
if (err == errAuthorizationSuccess) {
err = AuthorizationMakeExternalForm(self->_authRef, &extForm);
}
if (err == errAuthorizationSuccess) {
self.authorization = [[NSData alloc] initWithBytes:&extForm length:sizeof(extForm)];
}
assert(err == errAuthorizationSuccess);
// If we successfully connected to Authorization Services, add definitions for our default
// rights (unless they're already in the database).
if (self->_authRef) {
[Common setupAuthorizationRights:self->_authRef];
}
[self.window makeKeyAndOrderFront:self];
}
Функція setupAuthorizationRights з Common/Common.m зберігатиме в базі даних авторизації /var/db/auth.db права програми. Зверніть увагу, що вона додаватиме лише ті права, яких ще немає в базі даних:
+ (void)setupAuthorizationRights:(AuthorizationRef)authRef
// See comment in header.
{
assert(authRef != NULL);
[Common enumerateRightsUsingBlock:^(NSString * authRightName, id authRightDefault, NSString * authRightDesc) {
OSStatus blockErr;
// First get the right. If we get back errAuthorizationDenied that means there's
// no current definition, so we add our default one.
blockErr = AuthorizationRightGet([authRightName UTF8String], NULL);
if (blockErr == errAuthorizationDenied) {
blockErr = AuthorizationRightSet(
authRef, // authRef
[authRightName UTF8String], // rightName
(__bridge CFTypeRef) authRightDefault, // rightDefinition
(__bridge CFStringRef) authRightDesc, // descriptionKey
NULL, // bundle (NULL implies main bundle)
CFSTR("Common") // localeTableName
);
assert(blockErr == errAuthorizationSuccess);
} else {
// A right already exists (err == noErr) or any other error occurs, we
// assume that it has been set up in advance by the system administrator or
// this is the second time we've run. Either way, there's nothing more for
// us to do.
}
}];
}
Функція enumerateRightsUsingBlock використовується для отримання дозволів додатків, які визначені в commandInfo:
static NSString * kCommandKeyAuthRightName = @"authRightName";
static NSString * kCommandKeyAuthRightDefault = @"authRightDefault";
static NSString * kCommandKeyAuthRightDesc = @"authRightDescription";
+ (NSDictionary *)commandInfo
{
static dispatch_once_t sOnceToken;
static NSDictionary * sCommandInfo;
dispatch_once(&sOnceToken, ^{
sCommandInfo = @{
NSStringFromSelector(@selector(readLicenseKeyAuthorization:withReply:)) : @{
kCommandKeyAuthRightName : @"com.example.apple-samplecode.EBAS.readLicenseKey",
kCommandKeyAuthRightDefault : @kAuthorizationRuleClassAllow,
kCommandKeyAuthRightDesc : NSLocalizedString(
@"EBAS is trying to read its license key.",
@"prompt shown when user is required to authorize to read the license key"
)
},
NSStringFromSelector(@selector(writeLicenseKey:authorization:withReply:)) : @{
kCommandKeyAuthRightName : @"com.example.apple-samplecode.EBAS.writeLicenseKey",
kCommandKeyAuthRightDefault : @kAuthorizationRuleAuthenticateAsAdmin,
kCommandKeyAuthRightDesc : NSLocalizedString(
@"EBAS is trying to write its license key.",
@"prompt shown when user is required to authorize to write the license key"
)
},
NSStringFromSelector(@selector(bindToLowNumberPortAuthorization:withReply:)) : @{
kCommandKeyAuthRightName : @"com.example.apple-samplecode.EBAS.startWebService",
kCommandKeyAuthRightDefault : @kAuthorizationRuleClassAllow,
kCommandKeyAuthRightDesc : NSLocalizedString(
@"EBAS is trying to start its web service.",
@"prompt shown when user is required to authorize to start the web service"
)
}
};
});
return sCommandInfo;
}
+ (NSString *)authorizationRightForCommand:(SEL)command
// See comment in header.
{
return [self commandInfo][NSStringFromSelector(command)][kCommandKeyAuthRightName];
}
+ (void)enumerateRightsUsingBlock:(void (^)(NSString * authRightName, id authRightDefault, NSString * authRightDesc))block
// Calls the supplied block with information about each known authorization right..
{
[self.commandInfo enumerateKeysAndObjectsUsingBlock:^(id key, id obj, BOOL *stop) {
#pragma unused(key)
#pragma unused(stop)
NSDictionary * commandDict;
NSString * authRightName;
id authRightDefault;
NSString * authRightDesc;
// If any of the following asserts fire it's likely that you've got a bug
// in sCommandInfo.
commandDict = (NSDictionary *) obj;
assert([commandDict isKindOfClass:[NSDictionary class]]);
authRightName = [commandDict objectForKey:kCommandKeyAuthRightName];
assert([authRightName isKindOfClass:[NSString class]]);
authRightDefault = [commandDict objectForKey:kCommandKeyAuthRightDefault];
assert(authRightDefault != nil);
authRightDesc = [commandDict objectForKey:kCommandKeyAuthRightDesc];
assert([authRightDesc isKindOfClass:[NSString class]]);
block(authRightName, authRightDefault, authRightDesc);
}];
}
Це означає, що в кінці цього процесу дозволи, оголошені всередині commandInfo, будуть збережені в /var/db/auth.db. Зверніть увагу, що там ви можете знайти для кожного методу, який вимагає аутентифікації, назву дозволу та kCommandKeyAuthRightDefault. Останній вказує, хто може отримати це право.
Існують різні області, щоб вказати, хто може отримати право. Деякі з них визначені в AuthorizationDB.h (ви можете знайти всі з них тут), але в загальному:
Назва
Значення
Опис
kAuthorizationRuleClassAllow
дозволити
Будь-хто
kAuthorizationRuleClassDeny
заборонити
Ніхто
kAuthorizationRuleIsAdmin
is-admin
Поточний користувач повинен бути адміністратором (в групі адміністраторів)
kAuthorizationRuleAuthenticateAsSessionUser
authenticate-session-owner
Запитати користувача на аутентифікацію.
kAuthorizationRuleAuthenticateAsAdmin
authenticate-admin
Запитати користувача на аутентифікацію. Він повинен бути адміністратором (в групі адміністраторів)
kAuthorizationRightRule
rule
Вказати правила
kAuthorizationComment
comment
Вказати деякі додаткові коментарі щодо права
Перевірка прав
У HelperTool/HelperTool.m функція readLicenseKeyAuthorization перевіряє, чи має викликач право виконувати такий метод, викликаючи функцію checkAuthorization. Ця функція перевірить, чи authData, надіслане викликачем, має правильний формат, а потім перевірить, що потрібно для отримання права на виклик конкретного методу. Якщо все йде добре, повернене error буде nil:
- (NSError *)checkAuthorization:(NSData *)authData command:(SEL)command
{
[...]
// First check that authData looks reasonable.
error = nil;
if ( (authData == nil) || ([authData length] != sizeof(AuthorizationExternalForm)) ) {
error = [NSError errorWithDomain:NSOSStatusErrorDomain code:paramErr userInfo:nil];
}
// Create an authorization ref from that the external form data contained within.
if (error == nil) {
err = AuthorizationCreateFromExternalForm([authData bytes], &authRef);
// Authorize the right associated with the command.
if (err == errAuthorizationSuccess) {
AuthorizationItem oneRight = { NULL, 0, NULL, 0 };
AuthorizationRights rights = { 1, &oneRight };
oneRight.name = [[Common authorizationRightForCommand:command] UTF8String];
assert(oneRight.name != NULL);
err = AuthorizationCopyRights(
authRef,
&rights,
NULL,
kAuthorizationFlagExtendRights | kAuthorizationFlagInteractionAllowed,
NULL
);
}
if (err != errAuthorizationSuccess) {
error = [NSError errorWithDomain:NSOSStatusErrorDomain code:err userInfo:nil];
}
}
if (authRef != NULL) {
junk = AuthorizationFree(authRef, 0);
assert(junk == errAuthorizationSuccess);
}
return error;
}
Зверніть увагу, що для перевірки вимог для отримання права викликати цей метод функція authorizationRightForCommand просто перевірить попередньо коментований об'єкт commandInfo. Потім вона викличе AuthorizationCopyRights, щоб перевірити чи має вона права на виклик функції (зверніть увагу, що прапори дозволяють взаємодію з користувачем).
У цьому випадку, щоб викликати функцію readLicenseKeyAuthorization, kCommandKeyAuthRightDefault визначено як @kAuthorizationRuleClassAllow. Отже, будь-хто може її викликати.
DB Information
Було згадано, що ця інформація зберігається в /var/db/auth.db. Ви можете перерахувати всі збережені правила за допомогою:
You can find всі конфігурації дозволівтут, але комбінації, які не вимагатимуть взаємодії з користувачем, будуть:
'authenticate-user': 'false'
Це найпряміший ключ. Якщо встановлено на false, це вказує на те, що користувач не повинен надавати аутентифікацію для отримання цього права.
Це використовується в комбінації з одним з 2 нижче або вказуючи групу, до якої повинен належати користувач.
'allow-root': 'true'
Якщо користувач працює як кореневий користувач (який має підвищені права), і цей ключ встановлено на true, кореневий користувач потенційно може отримати це право без подальшої аутентифікації. Однак, зазвичай, отримання статусу кореневого користувача вже вимагає аутентифікації, тому це не є сценарієм "без аутентифікації" для більшості користувачів.
'session-owner': 'true'
Якщо встановлено на true, власник сесії (в даний момент увійшовший користувач) автоматично отримає це право. Це може обійти додаткову аутентифікацію, якщо користувач вже увійшов.
'shared': 'true'
Цей ключ не надає прав без аутентифікації. Натомість, якщо встановлено на true, це означає, що після аутентифікації права, вони можуть бути поділені між кількома процесами без необхідності повторної аутентифікації для кожного з них. Але початкове надання права все ще вимагатиме аутентифікації, якщо не поєднано з іншими ключами, такими як 'authenticate-user': 'false'.
Перевірка, чи використовується EvenBetterAuthorization
Якщо ви знайдете функцію: [HelperTool checkAuthorization:command:], ймовірно, процес використовує раніше згадану схему для авторизації:
Це, якщо ця функція викликає такі функції, як AuthorizationCreateFromExternalForm, authorizationRightForCommand, AuthorizationCopyRights, AuhtorizationFree, вона використовує EvenBetterAuthorizationSample.
Перевірте /var/db/auth.db, щоб дізнатися, чи можливо отримати дозволи для виклику деякої привілейованої дії без взаємодії з користувачем.
Протокольна комунікація
Далі вам потрібно знайти схему протоколу, щоб мати можливість встановити зв'язок з XPC-сервісом.
Функція shouldAcceptNewConnection вказує на експортований протокол:
У цьому випадку ми маємо те ж саме, що й у EvenBetterAuthorizationSample, перевірте цю лінію.
Знаючи назву використаного протоколу, можна вивантажити його визначення заголовка за допомогою:
