Entitlements în dezvoltarea iOS: ce este, ce tipuri există și cum se configurează

Ce sunt Entitlements?

Entitlements (din engleză — „drepturi”) — este o pereche cheie-valoare care este inclusă în semnătura de cod a aplicației în faza de construire și determină la ce funcții și date de sistem are acces aplicația. Entitlements sunt încorporate în modelul de securitate Apple de la apariția iOS SDK și sunt obligatorii pentru toate aplicațiile distribuite prin App Store.

Conceptul Entitlements diferă de permisiunile tradiționale (permissions) din Android. Dacă permisiunile Android sunt solicitate de la utilizator în momentul primei utilizări a funcției, Entitlements în iOS sunt verificate de sistem la pornirea aplicației pe baza semnăturii digitale. Utilizatorul nu poate revoca sau modifica un entitlement — acest drept este acordat dezvoltatorului prin App Store Connect și fixat în profilul de semnare.

Fiecare entitlement are o destinație și un format strict definite. De exemplu, com.apple.security.application-groups permite accesul la un container comun pentru un set de aplicații ale aceluiași dezvoltator, iar aps-environment activează suportul pentru notificări Push. Apple analizează manual solicitările de entitlements în procesul App Review, ceea ce previne abuzul de drepturi.

Tipuri de Entitlements în iOS

Entitlements sunt clasificate după destinația funcțională în mai multe categorii. Servicii de sistem — iCloud, Push Notifications, Siri. Securitate și date — Keychain Access Groups, App Groups, Data Protection. Rețea și comunicații — Multipath TCP, VPN, Hotspot Configuration. Capabilități hardware — Camera, Microphone, Bluetooth (prin capabilities asociate).

Capabilities și Entitlements de serviciu

Xcode grupează entitlements asociate în Capabilities — comutatoare de nivel înalt în fila Signing & Capabilities. Activarea unei Capability adaugă automat entitlements necesare în fișierul .entitlements. De exemplu, activarea Capability Push Notifications adaugă entitlement aps-environment cu valoarea development sau production, iar activarea iCloud adaugă un set de entitlements pentru CloudKit și Key-Value storage.

Unele capabilities necesită configurare suplimentară pe portalul Apple Developer. De exemplu, pentru App Groups trebuie înregistrat un identificator de grup pe portal, după care devine disponibil pentru selecție în Xcode. Pentru Push Notifications trebuie generată o cheie APNs sau un certificat. Fără acești pași preliminari, entitlement nu va funcționa chiar și cu un fișier .entitlements corect.

App Groups și Keychain Access

Entitlement com.apple.security.application-groups permite mai multor aplicații ale aceluiași dezvoltator să aibă un container comun în sistemul de fișiere. Acesta este utilizat pentru partajarea datelor între aplicația principală și extensii (Widget, Watch App, Share Extension). Toate aplicațiile dintr-un grup pot citi și scrie fișiere în directorul comun /Library/Group Containers/.

Keychain Access Groups (cheia keychain-access-groups) — un alt entitlement important, care permite aplicațiilor dintr-un grup accesul comun la elementele Keychain. Acest lucru este esențial pentru implementarea autentificării unificate: utilizatorul se autentifică într-o aplicație și obține automat acces la același cont în altă aplicație fără a reintroduce parola.

Cum se configurează Entitlements

Configurarea Entitlements se realizează în Xcode în fila Signing & Capabilities din setările targetului. Dezvoltatorul selectează Capabilities necesare din listă, iar Xcode creează sau actualizează automat fișierul .entitlements. Acest fișier este stocat în proiect în format XML cu structură plist și conține toate cheile entitlements pentru acest target.

<?xml version="1.0" encoding="UTF-8"?>
<!DOCTYPE plist PUBLIC "-//Apple//DTD PLIST 1.0//EN"
  "http://www.apple.com/DTDs/PropertyList-1.0.dtd">
<plist version="1.0">
<dict>
    <key>com.apple.security.application-groups</key>
    <array>
        <string>group.com.example.shared</string>
    </array>
    <key>aps-environment</key>
    <string>development</string>
    <key>keychain-access-groups</key>
    <array>
        <string>$(AppIdentifierPrefix)com.example.keychain</string>
    </array>
</dict>
</plist>

La crearea manuală a fișierului entitlement, este important să se respecte formatul cheilor și prefixurile. Entitlements Apple folosesc stilul de domeniu inversat (com.apple.*). Entitlements personalizate pentru propriile scopuri sunt de asemenea posibile, dar trebuie înregistrate pe portalul dezvoltatorului. Xcode oferă completare automată pentru toate cheile standard de entitlements.

Pentru depanarea Entitlements utilizați comanda codesign în terminalul macOS. Comanda codesign -d --entitlements :- <calea_către_aplicație> afișează toate entitlements cu care este semnată aplicația. Acest lucru este util pentru diagnosticarea problemelor: dacă entitlement lipsește din rezultat, aplicația nu va primi acces la funcția corespunzătoare indiferent de setările din Xcode.

Crearea manuală a fișierului entitlement

Deși Xcode generează fișierul entitlement automat la activarea Capabilities, dezvoltatorii experimentați îl creează sau editează adesea manual pentru o reglare fină. Fișierul are extensia .entitlements și formatul plist (XML). În el se pot adăuga chei entitlement personalizate care nu sunt prezente în interfața Xcode sau se pot combina entitlements din diferite capabilities într-un singur fișier.

La editarea manuală este important să se monitorizeze corectitudinea sintactică a XML-ului. O eroare în structura plist va face ca entitlements să nu fie aplicate la semnare. Xcode verifică fișierul .entitlements în etapa de compilare și afișează o eroare la format incorect. Pentru proiecte complexe cu mai multe targeturi și extensii, se recomandă stocarea cheilor comune de entitlement în fișiere separate și importarea lor prin Build Settings.

// cli: verificarea entitlements ale aplicației instalate
codesign -d --entitlements :- /Applications/Safari.app

// Exemplu de ieșire care conține lista entitlements active
<dict>
    <key>com.apple.security.ts.apple-wifi</key>
    <true/>
    <key>com.apple.security.network.client</key>
    <true/>
</dict>

Entitlements și securitatea aplicației

Entitlements joacă un rol cheie în modelul de securitate Apple. Deoarece entitlements fac parte din semnătura digitală a aplicației, falsificarea lor este imposibilă fără resemnarea codului. Apple verifică entitlements la mai multe niveluri: la construire, Xcode semnează entitlements împreună cu fișierul executabil; la instalare, sistemul verifică integritatea semnăturii; la pornire, verifică din nou entitlements.

Una dintre cerințele importante de securitate este principiul entitlement minim. Dezvoltatorul trebuie să activeze doar acele entitlements care sunt efectiv utilizate în aplicație. Entitlements inutile măresc suprafața de atac și pot duce la respingerea aplicației în App Review. Apple verifică explicit conformitatea entitlements cu funcționalitatea aplicației.

Unele entitlements sunt considerate sensibile (sensitive) și necesită aprobarea suplimentară a Apple. Acestea includ: com.apple.developer.healthkit (HealthKit), com.apple.developer.passkit (Wallet), com.apple.developer.authentication-services.authentication (Sign in with Apple) și com.apple.developer.nfc.readersession.formats (NFC). Pentru obținerea acestor entitlements, trebuie justificată necesitatea lor în procesul App Review.

La lucrul cu entitlements este important să se țină cont de diferențele dintre iOS și macOS. Aplicațiile desktop macOS (Sandboxed) au un set mai larg de entitlements comparativ cu iOS. De exemplu, entitlement com.apple.security.temporary-exception.* permite ocolirea temporară a sandbox-ului pentru anumite operațiuni — în iOS astfel de entitlements lipsesc complet.

Entitlements și Provisioning Profile

Entitlements sunt strâns legate de profilele de semnare (Provisioning Profiles). Profilul de semnare este un fișier care leagă certificatul dezvoltatorului, lista dispozitivelor permise și setul de entitlements pentru o aplicație specifică. La instalarea aplicației, sistemul compară entitlements din cod cu entitlements din profilul de semnare. Dacă entitlement este prezent în cod, dar lipsește din profil, aplicația nu va primi acces la funcția corespunzătoare.

Pentru diagnosticarea problemelor legate de entitlements, verificați mai întâi profilul de semnare. Xcode generează automat profile pe baza capability selectate pe portalul Apple Developer. Dacă capability a fost adăugată în Xcode, dar nu este activă pe portal, aplicația va eșua cu eroare de semnare la încercarea de a utiliza o funcție protejată.