iOS開發高階分享 - iOS上的裝置識別符號和指紋
蘋果認可的識別符號
Apple提供了各種API，以方便使用者識別各種用途：
通用識別符號(UDID)
在iOS的早期，蘋果公司提供了一個uniqueIdentifier財產上UIDevice-親切地稱為udid (不要與UUID混淆)。雖然這樣的功能在今天看來是不可想象的，但該屬性一直存在到IOS 5，直到它被廢棄並被替換為identifierForVendor在iOS 6中。
供應商識別符號(IDFV)
從IOS 6開始，開發人員可以使用identifierForVendor財產上UIDevice若要生成在同一供應商建立的應用程式和擴充套件之間共享的唯一識別符號(idfv).
import UIKit let idfv = UIDevice.current.identifierForVendor // BD43813E-CFC5-4EEB-ABE2-94562A6E76CA
根據文獻 identifierForVendor迴歸nil“在重新啟動裝置之後，但在使用者解鎖裝置之前。”目前還不清楚什麼時候會出現這種情況，但是如果你的應用程式在後臺做了什麼事情，一定要記住一些事情。
廣告識別符號(IDFA)
連同identifierForVendor引進了一種新的行政支助框架，這是蘋果建立的，以幫助區分應用程式功能所需的識別功能與任何服務於廣告的東西。
結果advertisingidentifier財產(親切地稱為idfa(由其同夥)不同於identifierForVendor通過為每個人返回相同的值。值可以更改，例如，如果使用者重置廣告識別符號或者抹去他們的裝置。
import AdSupport let idfa = ASIdentifierManager.shared().advertisingIdentifier
如果廣告跟蹤受到限制，則該屬性將返回一個歸零UUID。
idfa.uuidString == "00000000-0000-0000-0000-000000000000" // true if the user has limited ad tracking
奇怪的是，MacOS Mojave引入了一個clearAdvertisingIdentifier()方法，它似乎會建立一個“公地悲劇”在這種情況下，一個應用程式可能會破壞其他人的利益。(從使用者的角度來看，這不是一件壞事！)
還有一個奇怪的例子isAdvertisingTrackingEnabled財產。根據文獻:
在執行任何廣告跟蹤之前，請檢查此屬性的值。如果值為false，則只將廣告識別符號用於以下目的：頻率限制、屬性、轉換事件、估計唯一使用者的數量、廣告欺詐檢測和除錯。
這種“榮譽制度”方法遵從性令人困惑。這讓你想知道是什麼用法不會屬於這些廣泛的津貼範圍之內。
如果你對這件事的警力有任何洞察力，給我們一條線-我們想聽更多.
DeviceCheck
identifierForVendor和advertisingIdentifier提供與uniqueIdentifier屬性在IOS 6中替換，只有一個例外：能夠在裝置重置和應用程式解除安裝過程中持久化。
在iOS 11中，蘋果悄悄地推出了DeviceCheck框架，它允許開發人員分配由Apple持久化的兩位資訊直到開發人員手動刪除.
任何熟悉DeviceCheck框架的人都應該熟悉與DeviceCheck框架的互動APN在App Store Connect和您的伺服器上設定裝置之後，客戶端在裝置上生成令牌，這些令牌被髮送到伺服器以設定或查詢兩位資訊：
import DeviceCheck
let device = DCDevice.current
if device.isSupported {
device.generateToken { data, error in
if let token = data?.base64EncodedString() {
send token to your server
}
}
}
基於裝置令牌和客戶端傳送的其他資訊，伺服器告訴Apple通過傳送如下JSON有效負載來設定每個位值：
{
"device_token": "QTk4QkFDNEItNTBDMy00Qjc5LThBRUEtMDQ5RTQzRjNGQzU0Cg==",
"transaction_id": "D98BA630-E225-4A2F-AFEC-BE3A3D591708",
"timestamp": 1572531720,
"bit0": true,
"bit1": false
}
為了在稍後的時間點檢索這兩位，伺服器傳送一個沒有bit0和bit1欄位：
{
"device_token": "QTk4QkFDNEItNTBDMy00Qjc5LThBRUEtMDQ5RTQzRjNGQzU0Cg==",
"transaction_id": "D98BA630-E225-4A2F-AFEC-BE3A3D591708",
"timestamp": 1572532500
}
如果一切正常，蘋果的伺服器將以200狀態程式碼和以下JSON有效負載：
{
"bit0" : true
"bit1" : false,
"last_update_time" : "2019-10"
}
據稱，蘋果建立了DeviceCheck框架，以滿足優步在限制濫用促銷程式碼方面的需求。雖然DeviceCheck支援儲存只兩位資訊(例如，足以確定裝置是否曾被用於建立帳戶以及裝置是否與欺詐活動相關聯)，我們(誠然是模糊的)擔心時間戳，即使是截斷，也可能被用來儲存兩位以上的資訊。
今日iOS的指紋圖譜
儘管蘋果提供了這些服務，但廣告商仍在繼續努力規避使用者隱私保護，並利用他們掌握的所有資訊，以其他方式識別使用者。
多年來，蘋果對裝置硬體資訊的訪問受到限制，已安裝的應用程式, 附近WiFi網路...他們要求應用程式請求許可才能獲得您當前的位置，訪問您的相機和麥克風，瀏覽您的聯絡人，並找到並連線到藍芽附件。他們採取了大膽的步驟防止Safari中的使用者跟蹤.
由於缺乏這方面的資訊，公司不得不發揮創造力，從現有資訊的殘餘物中提煉出獨特的身份。這種由外部因素組合而成的識別過程稱為指印.
不幸的現實是，我們可以通過微不足道的少量資訊得到獨特的識別。例如，一個群體中的個體最多可以被四個時間戳座標所挑選出來。(de Montjoye，Hidalgo，Verleysen，&Blondel，2013年)或者僅僅是生日和郵政編碼(Sweeney，2000年).
自2012年以來，每個WWDC都舉辦了一次關於隱私的會議，但唯一特別提到指紋的是2014年的簡短討論如何避免這樣做。
根據我們的計算，堅定的一方可以使用傳統的、不受限制的API來產生幾十個隨機性：
地區資訊(~36位)
地區資訊是在蘋果平臺上識別資訊的最大來源。你喜歡的語言、區域、日曆、時區的組合，以及你安裝的鍵盤很大程度上說明了你是誰--尤其是在你沒有那麼傳統的偏好的情況下。
import Foundation Locale.current.languageCode log2(Double(Locale.isoLanguageCodes.count)) // 9.217 bits Locale.current.regionCode log2(Double(Locale.isoRegionCodes.count)) // 8 bits Locale.current.calendar.identifier // ~2^4 (16) Calendars TimeZone.current.identifier log2(Double(TimeZone.knownTimeZoneIdentifiers.count)) // 8.775 bits UserDefaults.standard.object(forKey: "AppleKeyboards")// ~2^6 (64) iOS keyboards
我們最近推特關於可以不受限制地訪問表情符號鍵盤資訊的應用程式。從那時起，我們就被告知蘋果公司正在調查這一問題。
可訪問性(~10位)
可訪問性首選項還提供了大量的資訊，每個單獨的設定都貢獻了一個潛在的位元：
UIAccessibility.isBoldTextEnabled UIAccessibility.isShakeToUndoEnabled UIAccessibility.isReduceMotionEnabled UIAccessibility.isDarkerSystemColorsEnabled UIAccessibility.isReduceTransparencyEnabled UIAccessibility.isAssistiveTouchRunning
約25%的使用者利用動態型別通過配置首選字型大小，該選擇還可用於指紋：
let application = UIApplication.shared application.preferredContentSizeCategory
硬體資訊(~5或~6位)
儘管這些年來，作業系統更新中大多數最活躍的位元都被鎖定了，但仍然有足夠多的位元用於識別。
在IOS上，您可以獲得使用者裝置的當前模型和儲存量：
import UIKit
let device = UIDevice.current
device.name // "iPhone 11 Pro"
let fileManager = FileManager.default
if let path = fileManager.urls(for: .libraryDirectory, in: .systemDomainMask).last?.path,
let systemSize = try? fileManager.attributesOfFileSystem(forPath: path)[.systemSize] as? Int
{
Measurement<UnitInformationStorage>(value: Double(systemSize), unit: .bytes)
.converted(to: .gigabytes) // ~256GB
}
帶著14個支援的IOS裝置，大多數都有3種配置，假設這貢獻了大約32種可能性，或者說是5位。
您可以在MacOS上更進一步，通過處理器計數和RAM數量來進一步區分硬體：
processInfo.processorCount // 8 Measurement<UnitInformationStorage>(value: Double(processInfo.physicalMemory), unit: .bytes) .converted(to: .gigabytes) // 16GB
很難感覺到有多少種不同的mac型號在使用？，但是一個合理的估計大概是2。6或27.
蜂窩網路(~2位元)
知道某人的手機是在威瑞森還是沃達豐，也可以被考慮到指紋。您可以使用CTTelephonyNetworkInfo類的CoreTelephone框架若要查詢具有蜂窩服務的裝置的提供程式，請執行以下操作：
import CoreTelephony
let networkInfo = CTTelephonyNetworkInfo()
let carriers = networkInfo.serviceSubscriberCellularProviders?.values
carriers?.map { ($0.mobileNetworkCode, $0.mobileCountryCode) }
每個國家的供應商數量各不相同，但以美國的4家主要運營商為指導，我們可以說，運營商資訊將貢獻約2位(如果您安裝了多個SIM卡，則貢獻更多)。
通訊首選項(2位)
更普遍的是，即使知道某人是否可以傳送簡訊或電子郵件，也可以被考慮到指紋中。可以在沒有許可權的情況下通過MessageUI框架.
import MessageUI MFMailComposeViewController.canSendMail() MFMessageComposeViewController.canSendText()
識別資訊的其他來源
如果數字指紋的使用看起來很奇怪的話，那只是觸及了公司和研究人員如何繞過你的隱私的表面而已。
GeoIP與相關網路速度
雖然通過傳統的API訪問地理位置需要明確的授權，但是第三方可能能夠根據訪問Internet的方式對您所處的世界的位置有一個大致的瞭解。
按源IP地址定位廣泛用於區域鎖定和本地化。您還可以將此資訊與平時測量到已知位置的主機，以便更準確地定位位置。(Weinberg，Cho，Christin，Sekar，&Gill，2018):
ping -c 5 99.24.18.13 # San Francisco, USA --- 99.24.18.13 ping statistics --- 5 packets transmitted, 5 packets received, 0.0% packet loss round-trip min/avg/max/stddev = 11.900/12.184/12.895/0.380 ms ping -c 5 203.47.10.37 # Adelaide, Australia --- 203.47.10.37 ping statistics --- 5 packets transmitted, 5 packets received, 0.0% packet loss round-trip min/avg/max/stddev = 202.122/202.433/203.436/0.504 ms
電池健康
目前還不清楚這是否在IOS中引起關注，但取決於UIDevice電池API是，您可以使用它們來識別裝置的電池健康。(Olejnik，Acar，Castelluccia，&Diaz，2016年)
var timestampedBatteryLevels: [(Date, Float)] = []
if UIDevice.current.isBatteryMonitoringEnabled {
timestampedBatteryLevels.append((Date(), UIDevice.current.batteryLevel))
}
因此，電池級API是在Firefox 55中刪除.如果這看起來很奇怪，那麼考慮一下蘋果公司(Apple)最近釋出了一項iOS的安全更新，因為研究人員證實，陀螺儀校準設定中的微小差異可以用來唯一地識別裝置。(張，貝雷斯福，雪萊，2019年)
另外，如果你想一起進階，不妨新增一下交流群[1012951431]，選擇加入一起交流，一起學習。期待你的加入！（進群可領取學習禮包）
參考文獻
- de Montjoye，Y.-A.，Hidalgo，C.A.，Verleysen，M.，&Blondel，V.D.(2013年)。在人群中獨一無二：人類移動的隱私範圍。科學報告, 3、1376號。https://doi.org/10.1038/srep01376
- Sweeney，L.(2000年)。簡單的人口統計往往能識別出獨特的人。卡內基梅隆大學，資料隱私...工作檔案。從http://dataprivacylab.org/projects/identifiability/檢索
- Weinberg，Z.，Cho，S.，Christin，N.，Sekar，V.，&Gill，P.(2018)。如何捕捉代理說謊：驗證網路代理的物理位置與主動地理定位。在……裡面2018年因特網計量會議記錄(第203-217頁)。紐約，紐約，美國：ACM。https://doi.org/10.1145/3278532.3278551
- Olejnik，L.，Acar，G.，Castelluccia，C.，&Diaz，C.(2016)。漏水的電池。在……裡面第十次資料隱私管理和安全保證國際講習班的訂正論文-第9481卷(第254至263頁)。紐約，紐約，美國：斯普林格-維拉格紐約公司。https://doi.org/10.1007/978-3-319-29883-2_18
- 張，J.，貝雷斯福德，A.R.，&Sheret，I.(2019)。SensorID：用於智慧手機的感測器校準指紋。在……裡面第40屆IEEE安全與隱私專題討論會會議紀要...IEEE。
翻譯地址：https://nshipster.com/device-identifi