Пост🤖 🔐 Нативный способ борьбы с фродом на iOS: DeviceCheck (App Attest)

🤖 🔐 Нативный способ борьбы с фродом на iOS: DeviceCheck (App Attest) В iOS есть два системных механизма от Apple, которые реально помогают с анти-фродом — DeviceCheck и App Attest. Оба — клиентские фреймворки. Они работают на устройстве и генерируют криптографические доказательства. Сервер сам ничего «не проверяет» — он просто отправляет эти данные в Apple и уже по ответу решает, что делать дальше. 📱 DeviceCheck Позволяет понять, что запрос пришёл с реального устройства и пользователь не пытается подделать свою активность. - Выпускаем ключ для приложения на developer.apple.com - Клиент в рантайме получает deviceToken через DeviceCheck API - Сервер валидирует его через Apple и может читать/писать два бита состояния, которые Apple хранит для пары устройство + приложение (подписывая с помощью jwt). Типичные кейсы: - «один бонус на устройство» - пометить девайс как подозрительный - soft-ban без аккаунта 🔐 App Attest Решает другую задачу (аналогичную deprecated ручке v1/validate_device_token) — подтверждает, что запрос идёт от оригинального приложения, а не от модифицированного. - Добавляется новый капабилити - Получается ключ (создаётся внутри Secure Enclave, наружу не экспортируется) для генерации nonсe с бекенда - Генерируется обьект attestation на основе приватного ключа и nonce и отправляется на бекенд для дальнейших проверок - Далее с помощью приватного ключа и nonсe генерируются assertion для отправки на сервер и верификации приложения Application даёт сигнал, Apple — источник доверия, Backend принимает бизнес-решение. P.S.: Ну и как всегда в разрезе security - оговорки. Jailbreak - все сломает (улучшайте jailbreak-detection), SSL-pinning поможет повысить защиту, скрывайте секреты, используйте обфускацию и шифрование. #L #Security #AntiFraud #DeviceCheck #iOS 👏