Entitlements ในการพัฒนา iOS: คืออะไร มีประเภทใดบ้าง และวิธีกำหนดค่า

Entitlements คืออะไร?

Entitlements (แปลจากภาษาอังกฤษว่า “สิทธิ์”) คือคู่คีย์-ค่าที่รวมอยู่ในลายเซ็นโค้ดของแอปพลิเคชันระหว่างการคอมไพล์ซึ่งกำหนดว่าแอปพลิเคชันสามารถเข้าถึงความสามารถและข้อมูลของระบบใดได้บ้าง Entitlements ถูกรวมอยู่ในโมเดลความปลอดภัยของ Apple นับตั้งแต่มีการเปิดตัว iOS SDK และเป็นสิ่งที่จำเป็นสำหรับแอปพลิเคชันทั้งหมดที่เผยแพร่ผ่าน App Store

แนวคิดของ Entitlements แตกต่างจากการอนุญาตแบบดั้งเดิมบน Android ในขณะที่การอนุญาตของ Android จะถูกร้องขอจากผู้ใช้เมื่อมีการใช้ฟีเจอร์เป็นครั้งแรก Entitlements ใน iOS จะถูกตรวจสอบโดยระบบเมื่อเริ่มต้นแอปพลิเคชันโดยอ้างอิงจากลายเซ็นดิจิทัล ผู้ใช้ไม่สามารถเพิกถอนหรือเปลี่ยนแปลง entitlement ได้ — สิทธินี้จะมอบให้กับนักพัฒนาผ่าน App Store Connect และฝังอยู่ในโปรไฟล์การจัดเตรียม

แต่ละ entitlement มีวัตถุประสงค์และรูปแบบที่กำหนดไว้อย่างเคร่งครัด ตัวอย่างเช่น com.apple.security.application-groups อนุญาตการเข้าถึงคอนเทนเนอร์ที่ใช้ร่วมกันสำหรับชุดแอปพลิเคชันของนักพัฒนาคนเดียวกัน ในขณะที่ aps-environment เปิดใช้งานการรองรับการแจ้งเตือนแบบ Push Apple ตรวจสอบคำขอ entitlements ด้วยตนเองในระหว่างกระบวนการ App Review ซึ่งป้องกันการใช้สิทธิ์ในทางที่ผิด

ประเภทของ Entitlements ใน iOS

Entitlements ถูกจำแนกตามวัตถุประสงค์การทำงานเป็นหลายหมวดหมู่ บริการระบบ — iCloud, การแจ้งเตือนแบบ Push, Siri ความปลอดภัยและข้อมูล — Keychain Access Groups, App Groups, Data Protection เครือข่ายและการสื่อสาร — Multipath TCP, VPN, Hotspot Configuration ความสามารถด้านฮาร์ดแวร์ — กล้อง ไมโครโฟน บลูทูธ (ผ่าน capabilities ที่เกี่ยวข้อง)

Capabilities และ Entitlements บริการ

Xcode จัดกลุ่ม entitlements ที่เกี่ยวข้องเป็น Capabilities — สวิตช์ระดับสูงบนแท็บ Signing & Capabilities การเปิดใช้งาน Capability จะเพิ่ม entitlements ที่จำเป็นลงในไฟล์ .entitlements โดยอัตโนมัติ ตัวอย่างเช่น การเปิดใช้งาน Capability การแจ้งเตือนแบบ Push จะเพิ่ม entitlement aps-environment ด้วยค่า development หรือ production ในขณะที่การเปิดใช้งาน iCloud จะเพิ่มชุด entitlements สำหรับ CloudKit และพื้นที่จัดเก็บ Key-Value

บาง capabilities ต้องการการกำหนดค่าเพิ่มเติมบนพอร์ทัล Apple Developer ตัวอย่างเช่น App Groups ต้องการการลงทะเบียนตัวระบุกลุ่มบนพอร์ทัล หลังจากนั้นจะสามารถเลือกได้ใน Xcode สำหรับการแจ้งเตือนแบบ Push จำเป็นต้องสร้างคีย์หรือใบรับรอง APNs หากไม่มีขั้นตอนเตรียมการเหล่านี้ entitlement จะไม่ทำงานแม้จะมีไฟล์ .entitlements ที่ถูกต้อง

App Groups และการเข้าถึง Keychain

Entitlement com.apple.security.application-groups อนุญาตให้แอปพลิเคชันหลายตัวของนักพัฒนาคนเดียวกันใช้คอนเทนเนอร์ร่วมกันบนระบบไฟล์ ใช้สำหรับการแชร์ข้อมูลระหว่างแอปพลิเคชันหลักและส่วนขยาย (Widget, Watch App, Share Extension) แอปพลิเคชันทั้งหมดในกลุ่มเดียวกันสามารถอ่านและเขียนไฟล์ในไดเรกทอรีที่ใช้ร่วมกัน /Library/Group Containers/

Keychain Access Groups (คีย์ keychain-access-groups) เป็น entitlement ที่สำคัญอีกตัวหนึ่งที่อนุญาตให้แอปพลิเคชันในกลุ่มเดียวกันแชร์การเข้าถึงรายการ Keychain ซึ่งมีความสำคัญอย่างยิ่งสำหรับการใช้งานการเข้าสู่ระบบครั้งเดียว: ผู้ใช้เข้าสู่ระบบในแอปพลิเคชันหนึ่งและสามารถเข้าถึงบัญชีเดียวกันในอีกแอปพลิเคชันหนึ่งโดยอัตโนมัติโดยไม่ต้องป้อนรหัสผ่านอีกครั้ง

วิธีการกำหนดค่า Entitlements

การกำหนดค่า Entitlements ทำได้ใน Xcode บนแท็บ Signing & Capabilities ในการตั้งค่า target นักพัฒนาเลือก Capabilities ที่ต้องการจากรายการ และ Xcode จะสร้างหรืออัปเดตไฟล์ .entitlements โดยอัตโนมัติ ไฟล์นี้ถูกจัดเก็บในโปรเจกต์ในรูปแบบ XML ด้วยโครงสร้าง plist และมีคีย์ entitlement ทั้งหมดสำหรับ target นั้น

<?xml version="1.0" encoding="UTF-8"?>
<!DOCTYPE plist PUBLIC "-//Apple//DTD PLIST 1.0//EN"
  "http://www.apple.com/DTDs/PropertyList-1.0.dtd">
<plist version="1.0">
<dict>
    <key>com.apple.security.application-groups</key>
    <array>
        <string>group.com.example.shared</string>
    </array>
    <key>aps-environment</key>
    <string>development</string>
    <key>keychain-access-groups</key>
    <array>
        <string>$(AppIdentifierPrefix)com.example.keychain</string>
    </array>
</dict>
</plist>

เมื่อสร้างไฟล์ entitlement ด้วยตนเอง สิ่งสำคัญคือต้องปฏิบัติตามรูปแบบคีย์และคำนำหน้า Entitlements ของ Apple ใช้สไตล์โดเมนย้อนกลับ (com.apple.*) Entitlements ที่กำหนดเองสำหรับวัตถุประสงค์ของคุณเองก็เป็นไปได้เช่นกัน แต่ต้องลงทะเบียนบนพอร์ทัลนักพัฒนา Xcode มีการเติมข้อความอัตโนมัติสำหรับคีย์ entitlement มาตรฐานทั้งหมด

สำหรับการดีบัก Entitlements ให้ใช้คำสั่ง codesign ในเทอร์มินัล macOS คำสั่ง codesign -d --entitlements :- <พาธไปยังแอปพลิเคชัน> แสดง entitlements ทั้งหมดที่แอปพลิเคชันถูกลงนาม สิ่งนี้มีประโยชน์สำหรับการวินิจฉัยปัญหา: หาก entitlement หายไปจากเอาต์พุต แอปพลิเคชันจะไม่สามารถเข้าถึงฟังก์ชันที่เกี่ยวข้องได้ไม่ว่าการตั้งค่า Xcode จะเป็นอย่างไร

การสร้างไฟล์ Entitlement ด้วยตนเอง

แม้ว่า Xcode จะสร้างไฟล์ entitlement โดยอัตโนมัติเมื่อเปิดใช้งาน Capabilities นักพัฒนาที่มีประสบการณ์มักจะสร้างหรือแก้ไขมันด้วยตนเองเพื่อการปรับแต่งอย่างละเอียด ไฟล์มีนามสกุล .entitlements และรูปแบบ plist (XML) คุณสามารถเพิ่มคีย์ entitlement ที่กำหนดเองที่ไม่อยู่ในอินเทอร์เฟซของ Xcode หรือรวม entitlements จาก capabilities ต่างๆ ในไฟล์เดียว

เมื่อแก้ไขด้วยตนเอง สิ่งสำคัญคือต้องรับประกันความถูกต้องทางไวยากรณ์ของ XML ข้อผิดพลาดในโครงสร้าง plist จะทำให้ entitlements ไม่ถูกนำไปใช้ระหว่างการลงนาม Xcode ตรวจสอบไฟล์ .entitlements ในเวลาคอมไพล์และแสดงข้อผิดพลาดหากรูปแบบไม่ถูกต้อง สำหรับโปรเจกต์ที่ซับซ้อนที่มีหลาย target และส่วนขยาย ขอแนะนำให้เก็บคีย์ entitlement ทั่วไปในไฟล์แยกต่างหากและนำเข้าผ่าน Build Settings

// cli: checking entitlements of an installed application
codesign -d --entitlements :- /Applications/Safari.app

// Example output contains a list of active entitlements
<dict>
    <key>com.apple.security.ts.apple-wifi</key>
    <true/>
    <key>com.apple.security.network.client</key>
    <true/>
</dict>

Entitlements และความปลอดภัยของแอปพลิเคชัน

Entitlements มีบทบาทสำคัญในโมเดลความปลอดภัยของ Apple เนื่องจาก entitlements เป็นส่วนหนึ่งของลายเซ็นดิจิทัลของแอปพลิเคชัน การปลอมแปลงจึงเป็นไปไม่ได้หากไม่ลงนามโค้ดใหม่ Apple ตรวจสอบ entitlements ในหลายระดับ: ระหว่างการคอมไพล์ Xcode ลงนาม entitlements พร้อมกับไฟล์ปฏิบัติการ ระหว่างการติดตั้ง ระบบตรวจสอบความสมบูรณ์ของลายเซ็น เมื่อเริ่มต้น ระบบจะตรวจสอบ entitlements อีกครั้ง

ข้อกำหนดด้านความปลอดภัยที่สำคัญประการหนึ่งคือหลักการของ entitlement ขั้นต่ำ นักพัฒนาควรรวมเฉพาะ entitlements ที่ใช้จริงในแอปพลิเคชันเท่านั้น Entitlements ที่ไม่จำเป็นเพิ่มพื้นผิวการโจมตีและอาจทำให้แอปพลิเคชันถูกปฏิเสธระหว่าง App Review Apple ตรวจสอบอย่างชัดเจนว่า entitlements สอดคล้องกับการทำงานของแอปพลิเคชันหรือไม่

Entitlements บางตัวถือเป็นละเอียดอ่อนและต้องการการอนุมัติเพิ่มเติมจาก Apple ซึ่งรวมถึง: com.apple.developer.healthkit (HealthKit), com.apple.developer.passkit (Wallet), com.apple.developer.authentication-services.authentication (Sign in with Apple) และ com.apple.developer.nfc.readersession.formats (NFC) เพื่อรับ entitlements เหล่านี้ คุณต้องแสดงความจำเป็นในระหว่างกระบวนการ App Review

เมื่อทำงานกับ entitlements สิ่งสำคัญคือต้องพิจารณาความแตกต่างระหว่าง iOS และ macOS แอปพลิเคชันเดสก์ท็อป macOS (Sandboxed) มีชุด entitlements ที่กว้างกว่าเมื่อเทียบกับ iOS ตัวอย่างเช่น entitlement com.apple.security.temporary-exception.* อนุญาตให้ข้ามแซนด์บ็อกซ์ชั่วคราวสำหรับการดำเนินการบางอย่าง — entitlements ดังกล่าวไม่มีอยู่ใน iOS อย่างสมบูรณ์

Entitlements และโปรไฟล์การจัดเตรียม

Entitlements เชื่อมโยงอย่างใกล้ชิดกับโปรไฟล์การจัดเตรียม (Provisioning Profiles) โปรไฟล์การจัดเตรียมคือไฟล์ที่เชื่อมโยงใบรับรองนักพัฒนา รายการอุปกรณ์ที่อนุญาต และชุด entitlements สำหรับแอปพลิเคชันเฉพาะ เมื่อติดตั้งแอปพลิเคชัน ระบบจะเปรียบเทียบ entitlements ในโค้ดกับ entitlements ในโปรไฟล์การจัดเตรียม หาก entitlement มีอยู่ในโค้ดแต่ไม่มีในโปรไฟล์ แอปพลิเคชันจะไม่สามารถเข้าถึงฟังก์ชันที่เกี่ยวข้องได้

ในการวินิจฉัยปัญหากับ entitlements ให้ตรวจสอบโปรไฟล์การจัดเตรียมก่อน Xcode สร้างโปรไฟล์โดยอัตโนมัติตาม capabilities ที่เลือกบนพอร์ทัล Apple Developer หากมีการเพิ่ม capability ใน Xcode แต่ไม่ได้เปิดใช้งานบนพอร์ทัล แอปพลิเคชันจะล้มเหลวด้วยข้อผิดพลาดในการลงนามเมื่อพยายามใช้ฟังก์ชันที่ได้รับการป้องกัน