iOS Uygulamalarında Jailbreak Detection: özü, tespit yöntemleri ve doğrulama

Jailbreak Detection Nedir?

Jailbreak Detection, işletim sistemi kısıtlamaları kaldırılmış iOS cihazlarını tanımlama sürecidir. Jailbreak, iOS çekirdeğini değiştirir, kod imzalamayı devre dışı bırakır, tam dosya sistemine erişim sağlar ve yetkisiz kütüphanelerin yüklenmesine izin verir. Böyle bir cihazda çalışan bir uygulama için çalışma zamanı ortamının bütünlüğüne dair hiçbir garanti yoktur: herhangi bir işlem uygulamanın belleğini okuyabilir, sistem güven deposuna kendi sertifikalarını yükleyerek SSL/TLS trafiğini ele geçirebilir ve Cydia Substrate veya Substitute aracılığıyla kod enjekte edebilir.

iOS'taki finansal uygulamalar, PCI DSS standartlarına göre Jailbreak Detection uygulamak zorundadır — sertifikasyon için uygulamanın güvenliği ihlal edilmiş bir cihazda çalışmadığını kanıtlaması gerekir. OWASP Mobile Security (2024), Jailbreak Detection eksikliğini M8 güvenlik açığı olarak sınıflandırır. App Store uygulamaları için Apple, jailbreak yapılmış cihazlarda işlevselliği engellemeyi yasaklamaz, ancak değiştirilebilecek istemci koduna yalnızca güvenmemek için istemci tarafı ve sunucu tarafı kontrollerinin birleştirilmesini önerir.

Korumalı alan modeli nedeniyle iOS'ta Jailbreak Detection'ın mimarisi Android'deki Root Detection'dan daha karmaşıktır. Android'de bir uygulama sistemi analiz etmek için /proc'u okuyabilir. iOS korumalı alanı (sandbox), çoğu sistem göstergesine doğrudan erişimi engeller. Geliştiriciler, canAccessFile API'si aracılığıyla kısıtlı bölgelerdeki dosya kullanılabilirliğini kontrol etme veya çıkış kodu doğrulamasıyla fork() aracılığıyla alt işlemler başlatma gibi alternatif teknikler kullanmak zorunda kalır. Modern kontroller, yalnızca jailbreak altında mümkün olan eylemleri denemeye ve sonucu analiz etmeye dayanır.

Dosya Tabanlı Tespit Yöntemleri

En basit ve tarihsel olarak ilk yaklaşım, yalnızca jailbreak yapılmış cihazlara yüklenen dosya ve uygulamaların varlığını kontrol etmektir. Basitliğine rağmen, dosya kontrolleri temel bir savunma katmanı olmaya devam eder, çünkü bunları atlatmak kullanıcının aktif eylemini gerektirir.

Jailbreak Paketlerini Kontrol Etme

Jailbreak yapılmış bir cihazda Cydia, Sileo, Zebra veya Installer gibi uygulamalar bulunur. Varlıkları NSFileManager aracılığıyla kontrol edilir: [[NSFileManager defaultManager] fileExistsAtPath:@"/Applications/Cydia.app"]. unc0ver, checkra1n, Taurine ve Chimera paketleri benzer şekilde kontrol edilir. Bu kontroller, NSFileManager çağrılarını ele geçiren HideJB tweak'leri aracılığıyla atlatılabilir.

/usr/bin'deki Yardımcı Programları Kontrol Etme

Jailbreak, stok iOS'ta bulunmayan UNIX yardımcı programlarını yükler: apt, dpkg, ssh, rsync, sftp, dd, readlink ve diğerleri. /usr/bin/ssh, /bin/bash, /bin/sh ve /usr/libexec/sftp-server'ın varlığı kontrol edilir. Bu dosyalardan herhangi biri başarıyla tespit edilirse, jailbreak olasılığı yüksektir. iOS 13–17 için, /var/jb'nin varlığını kontrol etmek de önemlidir — unc0ver ve Taurine için önyükleme (bootstrap) kök dizini.

Dinamik Kütüphaneleri Kontrol Etme

MobileSubstrate (CydiaSubstrate.dylib) ve Substitute, işlemlere kod enjekte etmek için kullanılan kütüphanelerdir. Varlıkları, RTLD_NOLOAD bayrağıyla dlopen() aracılığıyla kontrol edilir. Kütüphane adres alanına yüklenmişse — işlem jailbreak ortamında çalışıyordur. Bu daha güvenilir bir kontroldür, çünkü HideJB bir işleme zaten yüklenmiş bir kütüphaneyi kaldıramaz.

- (BOOL)isJailbrokenByFiles {
    NSArray *paths = @[
        @"/Applications/Cydia.app",
        @"/Applications/Sileo.app",
        @"/Applications/Zebra.app",
        @"/usr/bin/ssh",
        @"/bin/bash",
        @"/var/jb",
        @"/etc/apt"
    ];

    for (NSString *path in paths) {
        if ([[NSFileManager defaultManager]
            fileExistsAtPath:path]) {
            return YES;
        }
    }
    return NO;
}

- (BOOL)isSubstrateLoaded {
    void *handle = dlopen(
        "/Library/MobileSubstrate/MobileSubstrate.dylib",
        RTLD_NOLOAD | RTLD_LAZY
    );
    if (handle) {
        dlclose(handle);
        return YES;
    }
    return NO;
}

Dinamik Çalışma Zamanı Kontrolleri

Dinamik kontroller, iOS korumalı alanında yasaklanmış eylemleri gerçekleştirir ve sonucu analiz eder. Eylem engellenmezse — cihaz büyük olasılıkla jailbreak yapılmıştır.

fork() ve posix_spawn() Kontrolü

Stok iOS'ta, fork() çağrısı errno = EPERM ile -1 döndürür. Jailbreak yapılmış bir cihazda, korumalı alan kısıtlamaları kaldırıldığı için fork() başarılı olabilir. Bu kontrol güvenilirdir ancak bazı iOS sürümlerinde yanlış pozitiflere neden olabilir. fork(), bir alt işlem başlatma yeteneğini kontrol etmek için posix_spawn() ile değiştirilebilir.

Korumalı Alan Sistem İmzasını Kontrol Etme

Kısıtlı bölgelerdeki dosyaları okuma girişimi: /etc/master.passwd, /var/log/system.log, /private/var/cache. Stok iOS'ta bu okumalar bir hata döndürür. Uygulama bu dosyaları başarıyla okursa — korumalı alan devre dışı bırakılmıştır. Ek olarak, /private/ yoluna yazma yeteneği kontrol edilir — korumalı alanda, tüm sistem bölümleri normal uygulamalar için salt okunur olarak bağlanır.

Sistem Sembollerini Kontrol Etme

Jailbreak, dyld paylaşılan önbelleği dahil olmak üzere sistem kütüphanelerini değiştirir. Sistem çerçevelerinin veya bireysel sembollerin hash'ini kontrol etmek, değişikliği ortaya çıkarabilir. iOS 14+ için, sysctl kern.version okuyarak çekirdek adres alanında jit_region_create sembolünün veya Fugu14/checkra1n çalışmasının diğer belirtilerinin varlığı kontrol edilir.

- (BOOL)isJailbrokenByRuntime {
    // fork() kontrolü
    int pid = fork();
    if (pid == 0) {
        exit(0);
    }
    if (pid > 0) {
        waitpid(pid, NULL, 0);
        return YES;
    }

    // Sistem dosyalarına erişim kontrolü
    FILE *f = fopen("/etc/master.passwd", "r");
    if (f) {
        fclose(f);
        return YES;
    }

    // sysctl kern.version kontrolü
    size_t size = 0;
    sysctlbyname("kern.version", NULL, &size, NULL, 0);
    if (size > 0) {
        char *version = malloc(size);
        sysctlbyname("kern.version", version, &size, NULL, 0);
        NSString *str = [NSString stringWithUTF8String:version];
        free(version);
        if ([str containsString:"pwned"]) {
            return YES;
        }
    }

    return NO;
}

Objective-C'de Yerel Uygulama

Swift kodu kolayca tersine mühendislikle çözümlenir ve Substrate aracılığıyla atlatılır. libobjc ve C sistem işlevlerine doğrudan çağrılar içeren Objective-C'deki yerel uygulama, kontrolleri atlatmaya karşı önemli ölçüde daha dirençli hale getirir.

NSFileManager Yerine stat() Kullanma

libc'den stat() çağrısı Objective-C düzeyinde ele geçirilemez. NSFileManager yöntemlerini ele geçiren HideJB tweak'leri stat()'ı etkilemez. stat() kullanan yerel bir kontrol, HideJB modülleri yüklü cihazlarda bile dosya göstergelerini tespit eder. Dosyalar için stat() ve kütüphaneler için RTLD_NOLOAD ile dlopen() kombinasyonu, örtüşmeyen iki algılama kanalı sağlar.

Kod İmza Bütünlüğü Kontrolü

Yerel işlev SecStaticCodeCheckValidity, uygulamanın kod imzasını Apple sertifikasına karşı doğrular. Jailbreak yapılmış bir cihazda bu kontrol, bir çekirdek yaması (kernel patch) aracılığıyla sahtesi yapılabilir. Sahteyi önlemek için kontrol, Swift Bridge yerine Security.framework'ten dlopen() aracılığıyla çağrı yapan yerel koddan gerçekleştirilmelidir.

#import <sys/stat.h>
#import <dlfcn.h>

- (BOOL)nativeCheckForJailbreak {
    // stat(), NSFileManager kancasını atlıyor
    struct stat st;
    if (stat("/Applications/Cydia.app", &st) == 0) {
        return YES;
    }

    // Yüklemeden Substrate'i kontrol etmek için dlopen
    void *substrate = dlopen(
        "/Library/MobileSubstrate/MobileSubstrate.dylib",
        RTLD_NOLOAD
    );
    if (substrate) {
        dlclose(substrate);
        return YES;
    }

    return NO;
}

Jailbreak Detection'ı Atlatma Yöntemleri

Sağlam bir koruma oluşturmak için atlatma tekniklerini anlamak önemlidir. Modern atlatma araçları aktif olarak gelişmektedir ve statik bir kontrol seti birkaç ay içinde etkisiz hale gelir.

HideJB ve Shadow

HideJB, NSFileManager, stat(), dlopen() ve fork() çağrılarını ele geçiren ve dönüş değerlerini değiştiren bir tweak'tir. HideJB, Cydia Substrate düzeyinde çalışır ve hem Objective-C hem de C işlevlerini ele geçirir. HideJB'nin iOS 15–16 sürümü (Shadow), çekirdek düzeyi kanca (hook) metodolojisi kullanır. Karşı önlem: Kontrolü, kanca zincirini kıran IPC aracılığıyla sonuç teslimi olan ayrı bir işlemde gerçekleştirin.

Choicy ve Liberty Lite

Choicy, belirli işlemler için Substrate'i devre dışı bırakmanıza olanak tanır. Kullanıcı, korunan uygulama için enjeksiyonu devre dışı bırakır — tüm kütüphane kontrolleri false döndürür. Liberty Lite, popüler koruma kütüphanelerinin çoğu kontrolünü kapsayan kapsamlı bir atlatma aracıdır. Karşı önlem: DeviceCheck ve App Attest aracılığıyla sunucu tarafı doğrulama — sunucu, cihazın jailbreak yapılmış bir cihazda taklit edilemeyecek geçerli bir Apple sertifikasına sahip olduğunu doğrular.

Fugu14 ve KFD Aracılığıyla Atlatma

Fugu14 ve KFD gibi çekirdek açıkları (exploit), çekirdek alanında kod yürüterek uygulamanın görmeden önce sistem çağrılarını ele geçirmeye olanak tanır. Bu düzeyde, stat() ve fork() kontrolleri etkisiz hale gelir. Tek güvenilir karşı önlem, cihazın Apple Attestation prosedürünü geçtiğini doğrulayan sunucu tarafı onayıdır. Bu protokol, Secure Enclave içindeki, çekirdek düzeyi açığıyla bile okunamayan kriptografik anahtarlara dayanır.

iOS Güvenlik Mimarisi ve Jailbreak'in Rolü

Etkili bir Jailbreak Detection oluşturmak için, jailbreak sırasında hangi iOS güvenlik mekanizmalarının devre dışı bırakıldığını anlamak gerekir.

Güvenli Önyükleme Zinciri (Secure Boot Chain)

iOS, bir dizi imza kontrolü aracılığıyla önyüklenir: Boot ROM → iBoot → iOS Kernel. Jailbreak bir bootrom açığı (checkra1n) kullanıyorsa, tüm Güvenli Önyükleme Zinciri tehlikeye girer — uygulama düzeyindeki kontroller işe yaramaz. Yalnızca yazılım açığı (unc0ver, Taurine, Fugu14) kullanılıyorsa, önyükleme zinciri kırılmaz ve App Attest gibi Apple hizmetleri güvenilir kalır.

Çekirdek Yama Koruması (KPP)

iOS 10'dan itibaren Apple, KPP'yi tanıttı — her 200 ms'de bir çekirdek bütünlüğünü yeniden doğrulayan donanım koruması. Tüm modern jailbreak'ler (iOS 14–17) PAC veya APRR aracılığıyla KTRR atlatması kullanır, ancak KPP değiştirilmiş sysctl sistem tabloları şeklinde izler bırakır. kern.version'da pwned, prod veya standart olmayan bir sürüme sahip xnu gibi dizelerin varlığını kontrol etmek bir çekirdek yamasını ortaya çıkarabilir.

Korumalı Alan Bütünlüğü (Sandbox Integrity)

iOS Korumalı Alanı, yetkilendirmeleri (entitlements) kullanarak TrustedBSD düzeyinde çalışır. Jailbreak, korumalı alan profilini allow-all ile değiştirir. Bir uygulama, Documents dizini dışındaki herhangi bir dosyayı okumaya çalışarak korumalı alanı doğrulayabilir. Başarılı olursa — korumalı alan değiştirilmiştir. Korumalı Alan Bütünlüğü, çekirdek düzeyinde bir açık olmadan taklit edilemeyecek az sayıdaki göstergeden biridir, çünkü izin kontrolü, ele geçirilmeden önce çekirdekte gerçekleştirilir.