Jailbreak Detection dalam aplikasi iOS: esensi, metode deteksi, dan pemeriksaan

Apa itu Jailbreak Detection?

Jailbreak Detection — proses identifikasi perangkat iOS yang batasan sistem operasinya telah dihapus. Jailbreak memodifikasi kernel iOS, menonaktifkan penandatanganan kode, memberikan akses ke sistem file lengkap, dan memungkinkan pemuatan pustaka yang tidak sah. Untuk aplikasi yang berjalan di perangkat semacam itu, tidak ada jaminan integritas lingkungan eksekusi: proses apa pun dapat membaca memori aplikasi, menyadap lalu lintas SSL/TLS melalui pemasangan sertifikat sendiri di penyimpanan sistem, dan menyuntikkan kode melalui Cydia Substrate atau Substitute.

Aplikasi keuangan di iOS wajib menerapkan Jailbreak Detection sesuai persyaratan standar PCI DSS — untuk sertifikasi, aplikasi harus membuktikan bahwa ia tidak berjalan pada perangkat yang dikompromikan. OWASP Mobile Security (2024) mengklasifikasikan tidak adanya Jailbreak Detection sebagai kerentanan M8. Untuk aplikasi App Store, Apple tidak melarang pemblokiran fungsionalitas pada perangkat yang di-jailbreak, namun merekomendasikan untuk menggabungkan pemeriksaan sisi klien dan sisi server agar tidak hanya mengandalkan kode klien yang mungkin dimodifikasi.

Arsitektur Jailbreak Detection di iOS lebih kompleks daripada Root Detection di Android karena model sandbox. Di Android, aplikasi dapat membaca /proc untuk analisis sistem. Sandbox iOS memblokir akses langsung ke sebagian besar indikator sistem. Pengembang terpaksa menggunakan teknik penghindaran, seperti memeriksa ketersediaan file di zona terlarang melalui API canAccessFile atau meluncurkan proses anak melalui fork() dengan pemeriksaan kode keluar. Pemeriksaan modern didasarkan pada upaya melakukan tindakan yang hanya tersedia saat jailbreak dan analisis hasilnya.

Metode deteksi jailbreak berbasis file

Pendekatan paling sederhana dan pertama secara historis — memeriksa keberadaan file dan aplikasi yang hanya diinstal pada perangkat yang di-jailbreak. Meskipun sederhana, pemeriksaan file tetap menjadi lapisan dasar perlindungan, karena melewatinya memerlukan tindakan aktif dari pengguna.

Pemeriksaan paket jailbreak

Pada perangkat yang di-jailbreak, terdapat aplikasi Cydia, Sileo, Zebra, atau Installer. Keberadaan mereka diperiksa melalui NSFileManager: [[NSFileManager defaultManager] fileExistsAtPath:@"/Applications/Cydia.app"]. Demikian pula, paket dari unc0ver, checkra1n, Taurine, dan Chimera diperiksa. Pemeriksaan ini dilewati melalui tweak HideJB yang menyadap panggilan NSFileManager.

Pemeriksaan utilitas di /usr/bin

Jailbreak menginstal utilitas UNIX yang tidak tersedia di stock iOS: apt, dpkg, ssh, rsync, sftp, dd, readlink, dan lainnya. Keberadaan /usr/bin/ssh, /bin/bash, /bin/sh, dan /usr/libexec/sftp-server diperiksa. Jika salah satu file ini terdeteksi, kemungkinan jailbreak tinggi. Untuk iOS 13–17, penting juga untuk memeriksa keberadaan /var/jb — direktori root bootstrap untuk unc0ver dan Taurine.

Pemeriksaan pustaka dinamis

MobileSubstrate (CydiaSubstrate.dylib) dan Substitute — pustaka untuk injeksi kode ke dalam proses. Keberadaan mereka diperiksa melalui dlopen() dengan flag RTLD_NOLOAD. Jika pustaka dimuat ke dalam ruang alamat — proses berjalan di lingkungan dengan jailbreak. Ini adalah pemeriksaan yang lebih andal karena HideJB tidak dapat membongkar pustaka yang sudah dimuat ke dalam proses.

- (BOOL)isJailbrokenByFiles {
    NSArray *paths = @[
        @"/Applications/Cydia.app",
        @"/Applications/Sileo.app",
        @"/Applications/Zebra.app",
        @"/usr/bin/ssh",
        @"/bin/bash",
        @"/var/jb",
        @"/etc/apt"
    ];

    for (NSString *path in paths) {
        if ([[NSFileManager defaultManager]
            fileExistsAtPath:path]) {
            return YES;
        }
    }
    return NO;
}

- (BOOL)isSubstrateLoaded {
    void *handle = dlopen(
        "/Library/MobileSubstrate/MobileSubstrate.dylib",
        RTLD_NOLOAD | RTLD_LAZY
    );
    if (handle) {
        dlclose(handle);
        return YES;
    }
    return NO;
}

Pemeriksaan runtime dinamis

Pemeriksaan dinamis melakukan tindakan yang dilarang di sandbox iOS dan menganalisis hasilnya. Jika tindakan tidak diblokir — kemungkinan besar perangkat memiliki jailbreak.

Pemeriksaan fork() dan posix_spawn()

Di stock iOS, panggilan fork() mengembalikan -1 dengan errno = EPERM. Pada perangkat yang di-jailbreak, fork() dapat dieksekusi karena batasan sandbox telah dihapus. Pemeriksaan ini andal tetapi dapat menghasilkan positif palsu pada beberapa versi iOS. fork() juga dapat diganti dengan posix_spawn() untuk memeriksa kemungkinan meluncurkan proses anak.

Pemeriksaan tanda tangan sistem sandbox

Upaya membaca file di zona terlarang: /etc/master.passwd, /var/log/system.log, /private/var/cache. Di stock iOS, pembacaan ini mengembalikan kesalahan. Jika aplikasi berhasil membaca file-file ini — sandbox dinonaktifkan. Selain itu, kemungkinan menulis ke /private/ diperiksa — di sandbox, semua partisi sistem dipasang sebagai read-only untuk aplikasi biasa.

Pemeriksaan simbol sistem

Jailbreak memodifikasi pustaka sistem, termasuk dyld shared cache. Pemeriksaan hash dari framework sistem atau simbol individual dapat mendeteksi modifikasi. Untuk iOS 14+, keberadaan simbol jit_region_create atau tanda-tanda lain dari Fugu14/checkra1n di ruang alamat kernel diperiksa melalui pembacaan sysctl kern.version.

- (BOOL)isJailbrokenByRuntime {
    // Pemeriksaan fork()
    int pid = fork();
    if (pid == 0) {
        exit(0);
    }
    if (pid > 0) {
        waitpid(pid, NULL, 0);
        return YES;
    }

    // Pemeriksaan akses ke file sistem
    FILE *f = fopen("/etc/master.passwd", "r");
    if (f) {
        fclose(f);
        return YES;
    }

    // Pemeriksaan sysctl kern.version
    size_t size = 0;
    sysctlbyname("kern.version", NULL, &size, NULL, 0);
    if (size > 0) {
        char *version = malloc(size);
        sysctlbyname("kern.version", version, &size, NULL, 0);
        NSString *str = [NSString stringWithUTF8String:version];
        free(version);
        if ([str containsString:"pwned"]) {
            return YES;
        }
    }

    return NO;
}

Implementasi native dalam Objective-C

Kode Swift mudah didisasm dan dilewati melalui Substrate. Implementasi native dalam Objective-C dengan panggilan langsung libobjc dan fungsi sistem C membuat pemeriksaan jauh lebih tahan terhadap penghindaran.

Penggunaan stat() alih-alih NSFileManager

Panggilan stat() dari libc tidak dapat disadap pada tingkat Objective-C. Tweak HideJB yang menyadap metode NSFileManager tidak memengaruhi stat(). Pemeriksaan native dengan stat() mendeteksi indikator file bahkan pada perangkat dengan modul HideJB yang terinstal. Kombinasi stat() untuk file dan dlopen() dengan RTLD_NOLOAD untuk pustaka memberikan dua saluran deteksi yang tidak tumpang tindih.

Pemeriksaan integritas tanda tangan kode

Fungsi native SecStaticCodeCheckValidity memeriksa tanda tangan kode aplikasi untuk kesesuaian dengan sertifikat Apple. Pada perangkat yang di-jailbreak, pemeriksaan ini dapat diganti melalui kernel-patch. Untuk menghindari penggantian, pemeriksaan harus dilakukan dari kode native dengan panggilan melalui dlopen() dari Security.framework, bukan melalui Swift Bridge.

#import <sys/stat.h>
#import <dlfcn.h>

- (BOOL)nativeCheckForJailbreak {
    // stat() melewati hook NSFileManager
    struct stat st;
    if (stat("/Applications/Cydia.app", &st) == 0) {
        return YES;
    }

    // dlopen untuk memeriksa Substrate tanpa memuat
    void *substrate = dlopen(
        "/Library/MobileSubstrate/MobileSubstrate.dylib",
        RTLD_NOLOAD
    );
    if (substrate) {
        dlclose(substrate);
        return YES;
    }

    return NO;
}

Metode melewati Jailbreak Detection

Memahami teknik penghindaran diperlukan untuk membangun perlindungan yang berkelanjutan. Alat penghindaran modern terus berkembang, dan serangkaian pemeriksaan statis menjadi tidak efektif dalam beberapa bulan.

HideJB dan Shadow

HideJB — tweak yang menyadap panggilan NSFileManager, stat(), dlopen(), dan fork() serta mengganti nilai yang dikembalikan. HideJB bekerja pada tingkat Cydia Substrate, sehingga menyadap fungsi Objective-C dan C. Versi HideJB untuk iOS 15–16 (Shadow) menggunakan metodologi hook tingkat kernel. Tindakan balasan: melakukan pemeriksaan dalam proses terpisah dengan mentransfer hasil melalui IPC, yang memutus rantai hook.

Choicy dan Liberty Lite

Choicy memungkinkan menonaktifkan Substrate untuk proses tertentu. Pengguna cukup menonaktifkan injeksi untuk aplikasi yang dilindungi — semua pemeriksaan pustaka mengembalikan false. Liberty Lite — penghindaran komprehensif yang mencakup sebagian besar pemeriksaan dari pustaka perlindungan populer. Tindakan balasan: verifikasi server melalui DeviceCheck dan App Attest — di server, diperiksa apakah perangkat memiliki sertifikat Apple yang valid yang tidak dapat dipalsukan pada perangkat yang di-jailbreak.

Penghindaran melalui Fugu14 dan KFD

Eksploit kernel seperti Fugu14 dan KFD mengeksekusi kode di ruang kernel (kernel-space), yang memungkinkan penyadapan panggilan sistem sebelum aplikasi melihatnya. Pada tingkat ini, pemeriksaan stat() dan fork() menjadi tidak efektif. Satu-satunya tindakan balasan yang andal — attestasi server dengan verifikasi bahwa perangkat telah melalui prosedur Apple Attestation. Protokol ini didasarkan pada kunci kriptografi di dalam Secure Enclave, yang tidak dapat dibaca bahkan dengan eksploit tingkat kernel.

Arsitektur keamanan iOS dan peran jailbreak

Untuk membangun Jailbreak Detection yang efektif, perlu dipahami mekanisme keamanan iOS mana yang dinonaktifkan saat jailbreak.

Secure Boot Chain

iOS melakukan booting melalui serangkaian pemeriksaan tanda tangan: Boot ROM → iBoot → iOS Kernel. Jika jailbreak menggunakan exploit bootrom (checkra1n), seluruh Secure Boot Chain dikompromikan — pemeriksaan pada tingkat aplikasi tidak berguna. Jika exploit software-only (unc0ver, Taurine, Fugu14) digunakan, rantai booting tidak dilanggar, dan layanan Apple seperti App Attest tetap tepercaya.

Kernel Patch Protection (KPP)

Mulai dari iOS 10, Apple menerapkan KPP — perlindungan perangkat keras yang memeriksa ulang integritas kernel setiap 200 ms. Semua jailbreak modern (iOS 14–17) menggunakan penghindaran KTRR melalui PAC atau APRR, tetapi KPP meninggalkan jejak dalam bentuk tabel sistem sysctl yang dimodifikasi. Pemeriksaan kern.version untuk keberadaan string pwned, prod, atau xnu dengan versi tidak standar dapat mendeteksi keberadaan patch kernel.

Integritas Sandbox

Sandbox iOS bekerja pada tingkat TrustedBSD menggunakan entitlements. Jailbreak mengganti profil sandbox menjadi allow-all. Aplikasi dapat memeriksa sandbox dengan mencoba membaca file apa pun di luar direktori Documents-nya. Jika berhasil — sandbox telah dimodifikasi. Integritas Sandbox — salah satu dari sedikit indikator yang tidak dapat dipalsukan tanpa eksploit tingkat kernel, karena pemeriksaan izin dilakukan di kernel sebelum dapat disadap.