Jailbreak Detection trong ứng dụng iOS: bản chất, phương pháp phát hiện và xác minh

Jailbreak Detection là gì?

Jailbreak Detection là quá trình xác định các thiết bị iOS đã bị loại bỏ hạn chế hệ điều hành. Jailbreak sửa đổi nhân iOS, vô hiệu hóa chữ ký mã, cung cấp quyền truy cập vào toàn bộ hệ thống tệp và cho phép tải các thư viện trái phép. Đối với ứng dụng chạy trên thiết bị như vậy, không có đảm bảo về tính toàn vẹn của môi trường thời gian chạy: bất kỳ tiến trình nào cũng có thể đọc bộ nhớ của ứng dụng, chặn lưu lượng SSL/TLS bằng cách cài đặt chứng chỉ riêng vào kho tin cậy của hệ thống và tiêm mã qua Cydia Substrate hoặc Substitute.

Các ứng dụng tài chính trên iOS bắt buộc phải triển khai Jailbreak Detection theo tiêu chuẩn PCI DSS — để được chứng nhận, ứng dụng phải chứng minh rằng nó không chạy trên thiết bị bị xâm phạm. OWASP Mobile Security (2024) phân loại việc thiếu Jailbreak Detection là lỗ hổng M8. Đối với ứng dụng App Store, Apple không cấm chặn chức năng trên thiết bị đã jailbreak, nhưng khuyến nghị kết hợp kiểm tra phía máy khách và phía máy chủ để không chỉ phụ thuộc vào mã máy khách có thể bị sửa đổi.

Kiến trúc của Jailbreak Detection trên iOS phức tạp hơn Root Detection trên Android do mô hình sandbox. Trên Android, ứng dụng có thể đọc /proc để phân tích hệ thống. Sandbox iOS chặn truy cập trực tiếp vào hầu hết các chỉ báo hệ thống. Các nhà phát triển buộc phải sử dụng các kỹ thuật thay thế như kiểm tra khả dụng của tệp trong các khu vực bị hạn chế qua API canAccessFile hoặc khởi chạy tiến trình con qua fork() với xác minh mã thoát. Các kiểm tra hiện đại được xây dựng dựa trên việc thử các hành động chỉ khả dụng khi jailbreak và phân tích kết quả.

Phương pháp phát hiện dựa trên tệp

Cách tiếp cận đơn giản nhất và đầu tiên trong lịch sử là kiểm tra sự hiện diện của các tệp và ứng dụng chỉ được cài đặt trên thiết bị đã jailbreak. Mặc dù đơn giản, kiểm tra tệp vẫn là một lớp bảo vệ cơ bản, vì việc vượt qua chúng đòi hỏi hành động chủ động từ người dùng.

Kiểm tra gói jailbreak

Trên thiết bị đã jailbreak, có các ứng dụng như Cydia, Sileo, Zebra hoặc Installer. Sự hiện diện của chúng được kiểm tra qua NSFileManager: [[NSFileManager defaultManager] fileExistsAtPath:@"/Applications/Cydia.app"]. Các gói từ unc0ver, checkra1n, Taurine và Chimera được kiểm tra tương tự. Các kiểm tra này có thể bị vượt qua thông qua các tweak HideJB chặn các cuộc gọi NSFileManager.

Kiểm tra tiện ích trong /usr/bin

Jailbreak cài đặt các tiện ích UNIX không có trong iOS chuẩn: apt, dpkg, ssh, rsync, sftp, dd, readlink và các tiện ích khác. Sự tồn tại của /usr/bin/ssh, /bin/bash, /bin/sh và /usr/libexec/sftp-server được kiểm tra. Nếu bất kỳ tệp nào trong số này được phát hiện thành công, khả năng jailbreak là cao. Đối với iOS 13–17, cũng cần kiểm tra sự hiện diện của /var/jb — thư mục gốc bootstrap cho unc0ver và Taurine.

Kiểm tra thư viện động

MobileSubstrate (CydiaSubstrate.dylib) và Substitute là các thư viện để tiêm mã vào tiến trình. Sự hiện diện của chúng được kiểm tra qua dlopen() với cờ RTLD_NOLOAD. Nếu thư viện được tải vào không gian địa chỉ — tiến trình đang chạy trong môi trường đã jailbreak. Đây là kiểm tra đáng tin cậy hơn vì HideJB không thể dỡ một thư viện đã được tải vào tiến trình.

- (BOOL)isJailbrokenByFiles {
    NSArray *paths = @[
        @"/Applications/Cydia.app",
        @"/Applications/Sileo.app",
        @"/Applications/Zebra.app",
        @"/usr/bin/ssh",
        @"/bin/bash",
        @"/var/jb",
        @"/etc/apt"
    ];

    for (NSString *path in paths) {
        if ([[NSFileManager defaultManager]
            fileExistsAtPath:path]) {
            return YES;
        }
    }
    return NO;
}

- (BOOL)isSubstrateLoaded {
    void *handle = dlopen(
        "/Library/MobileSubstrate/MobileSubstrate.dylib",
        RTLD_NOLOAD | RTLD_LAZY
    );
    if (handle) {
        dlclose(handle);
        return YES;
    }
    return NO;
}

Kiểm tra thời gian chạy động

Các kiểm tra động thực hiện các hành động bị cấm trong sandbox iOS và phân tích kết quả. Nếu hành động không bị chặn — thiết bị rất có thể đã được jailbreak.

Kiểm tra fork() và posix_spawn()

Trong iOS chuẩn, cuộc gọi fork() trả về -1 với errno = EPERM. Trên thiết bị đã jailbreak, fork() có thể thành công vì các hạn chế sandbox đã bị loại bỏ. Kiểm tra này đáng tin cậy nhưng có thể tạo ra dương tính giả trên một số phiên bản iOS. fork() cũng có thể được thay thế bằng posix_spawn() để kiểm tra khả năng khởi chạy tiến trình con.

Kiểm tra chữ ký hệ thống sandbox

Cố gắng đọc tệp trong các khu vực bị hạn chế: /etc/master.passwd, /var/log/system.log, /private/var/cache. Trong iOS chuẩn, các lần đọc này trả về lỗi. Nếu ứng dụng đọc thành công các tệp này — sandbox đã bị vô hiệu hóa. Ngoài ra, khả năng ghi vào /private/ được kiểm tra — trong sandbox, tất cả các phân vùng hệ thống được gắn dưới dạng chỉ đọc cho các ứng dụng thông thường.

Kiểm tra ký hiệu hệ thống

Jailbreak sửa đổi các thư viện hệ thống, bao gồm cả bộ nhớ đệm dùng chung dyld. Kiểm tra hàm băm của các framework hệ thống hoặc các ký hiệu riêng lẻ có thể phát hiện sự sửa đổi. Đối với iOS 14+, sự hiện diện của ký hiệu jit_region_create hoặc các dấu hiệu khác của hoạt động Fugu14/checkra1n trong không gian địa chỉ nhân được kiểm tra bằng cách đọc sysctl kern.version.

- (BOOL)isJailbrokenByRuntime {
    // Kiểm tra fork()
    int pid = fork();
    if (pid == 0) {
        exit(0);
    }
    if (pid > 0) {
        waitpid(pid, NULL, 0);
        return YES;
    }

    // Kiểm tra quyền truy cập tệp hệ thống
    FILE *f = fopen("/etc/master.passwd", "r");
    if (f) {
        fclose(f);
        return YES;
    }

    // Kiểm tra sysctl kern.version
    size_t size = 0;
    sysctlbyname("kern.version", NULL, &size, NULL, 0);
    if (size > 0) {
        char *version = malloc(size);
        sysctlbyname("kern.version", version, &size, NULL, 0);
        NSString *str = [NSString stringWithUTF8String:version];
        free(version);
        if ([str containsString:"pwned"]) {
            return YES;
        }
    }

    return NO;
}

Triển khai gốc trong Objective-C

Mã Swift dễ dàng bị tháo rời và vượt qua qua Substrate. Triển khai gốc trong Objective-C với các cuộc gọi trực tiếp đến libobjc và các hàm hệ thống C làm cho các kiểm tra kháng cự đáng kể hơn đối với việc vượt qua.

Sử dụng stat() thay vì NSFileManager

Cuộc gọi stat() từ libc không thể bị chặn ở cấp độ Objective-C. Các tweak HideJB chặn các phương thức NSFileManager không ảnh hưởng đến stat(). Kiểm tra gốc với stat() phát hiện các chỉ báo tệp ngay cả trên thiết bị có cài đặt mô-đun HideJB. Sự kết hợp của stat() cho tệp và dlopen() với RTLD_NOLOAD cho thư viện cung cấp hai kênh phát hiện không chồng chéo.

Kiểm tra tính toàn vẹn chữ ký mã

Hàm gốc SecStaticCodeCheckValidity xác minh chữ ký mã của ứng dụng so với chứng chỉ Apple. Trên thiết bị đã jailbreak, kiểm tra này có thể bị giả mạo thông qua bản vá nhân. Để tránh giả mạo, kiểm tra nên được thực hiện từ mã gốc với cuộc gọi qua dlopen() từ Security.framework, thay vì qua Swift Bridge.

#import <sys/stat.h>
#import <dlfcn.h>

- (BOOL)nativeCheckForJailbreak {
    // stat() vượt qua hook NSFileManager
    struct stat st;
    if (stat("/Applications/Cydia.app", &st) == 0) {
        return YES;
    }

    // dlopen để kiểm tra Substrate mà không tải
    void *substrate = dlopen(
        "/Library/MobileSubstrate/MobileSubstrate.dylib",
        RTLD_NOLOAD
    );
    if (substrate) {
        dlclose(substrate);
        return YES;
    }

    return NO;
}

Phương pháp vượt qua Jailbreak Detection

Hiểu các kỹ thuật vượt qua là cần thiết để xây dựng bảo vệ mạnh mẽ. Các công cụ vượt qua hiện đại đang phát triển tích cực và một bộ kiểm tra tĩnh trở nên không hiệu quả trong vòng vài tháng.

HideJB và Shadow

HideJB là một tweak chặn các cuộc gọi đến NSFileManager, stat(), dlopen() và fork(), thay thế các giá trị trả về. HideJB hoạt động ở cấp độ Cydia Substrate, chặn cả hàm Objective-C và C. Phiên bản HideJB cho iOS 15–16 (Shadow) sử dụng phương pháp hook cấp nhân. Biện pháp đối phó: thực hiện kiểm tra trong một tiến trình riêng biệt với phân phối kết quả qua IPC, phá vỡ chuỗi hook.

Choicy và Liberty Lite

Choicy cho phép vô hiệu hóa Substrate cho các tiến trình cụ thể. Người dùng chỉ cần tắt tiêm cho ứng dụng được bảo vệ — tất cả kiểm tra thư viện đều trả về false. Liberty Lite là một công cụ vượt qua toàn diện bao phủ hầu hết các kiểm tra từ các thư viện bảo vệ phổ biến. Biện pháp đối phó: xác minh phía máy chủ qua DeviceCheck và App Attest — máy chủ xác minh rằng thiết bị có chứng chỉ Apple hợp lệ không thể bị giả mạo trên thiết bị đã jailbreak.

Vượt qua qua Fugu14 và KFD

Các khai thác nhân như Fugu14 và KFD thực thi mã trong không gian nhân, cho phép chặn các cuộc gọi hệ thống trước khi ứng dụng nhìn thấy chúng. Ở cấp độ này, kiểm tra stat() và fork() trở nên không hiệu quả. Biện pháp đối phó đáng tin cậy duy nhất là chứng thực phía máy chủ với xác minh rằng thiết bị đã vượt qua quy trình Apple Attestation. Giao thức này dựa trên các khóa mật mã bên trong Secure Enclave, không thể đọc được ngay cả với khai thác cấp nhân.

Kiến trúc bảo mật iOS và vai trò của jailbreak

Để xây dựng Jailbreak Detection hiệu quả, cần hiểu cơ chế bảo mật iOS nào bị vô hiệu hóa trong quá trình jailbreak.

Chuỗi khởi động an toàn (Secure Boot Chain)

iOS khởi động qua một chuỗi kiểm tra chữ ký: Boot ROM → iBoot → iOS Kernel. Nếu jailbreak sử dụng khai thác bootrom (checkra1n), toàn bộ Chuỗi khởi động an toàn bị xâm phạm — kiểm tra ở cấp ứng dụng vô ích. Nếu chỉ sử dụng khai thác phần mềm (unc0ver, Taurine, Fugu14), chuỗi khởi động không bị phá vỡ và các dịch vụ Apple như App Attest vẫn đáng tin cậy.

Bảo vệ bản vá nhân (KPP)

Bắt đầu từ iOS 10, Apple đã giới thiệu KPP — bảo vệ phần cứng kiểm tra lại tính toàn vẹn của nhân mỗi 200 ms. Tất cả các jailbreak hiện đại (iOS 14–17) sử dụng vượt qua KTRR qua PAC hoặc APRR, nhưng KPP để lại dấu vết dưới dạng bảng hệ thống sysctl bị sửa đổi. Kiểm tra kern.version để tìm sự hiện diện của các chuỗi như pwned, prod hoặc xnu với phiên bản không chuẩn có thể phát hiện bản vá nhân.

Tính toàn vẹn sandbox

Sandbox iOS hoạt động ở cấp độ TrustedBSD sử dụng entitlements. Jailbreak thay thế hồ sơ sandbox bằng allow-all. Ứng dụng có thể xác minh sandbox bằng cách cố gắng đọc bất kỳ tệp nào bên ngoài thư mục Documents của nó. Nếu thành công — sandbox đã bị sửa đổi. Tính toàn vẹn sandbox là một trong số ít chỉ báo không thể bị giả mạo nếu không có khai thác cấp nhân, vì kiểm tra quyền được thực hiện trong nhân trước khi nó có thể bị chặn.