Implemente gradualmente Firebase App Check usando Firebase Remote Config

1. Introducción

Puede usar Firebase App Check con App Attest para proteger sus servicios backend y verificar que las solicitudes a los servicios de Firebase provengan de su aplicación auténtica.

En general, se recomienda incorporar a los usuarios gradualmente al servicio App Attest para evitar alcanzar los límites de cuota. Para obtener más información, consulte la documentación de Apple " Preparación para utilizar el servicio de certificación de aplicaciones ".

La capacidad de publicar actualizaciones de aplicaciones de forma incremental utilizando la función App Store Connect de Apple, como se describe en " Lanzamiento de una actualización de versión en fases ", puede hacer que la implementación de App Check sea más fluida. Esta es una solución sencilla y directa. Sin embargo, publicar una actualización de la versión de una aplicación por etapas no le permite controlar la implementación o cambiar el comportamiento de las aplicaciones actualizadas existentes sin publicar una nueva versión de la aplicación.

Una forma de tener más control sobre la implementación de App Check with App Attest es usar Firebase Remote Config para habilitar App Check with App Attest para un porcentaje de los usuarios de su aplicación a la vez. Esto puede ayudar a evitar la limitación de los servidores de certificación. Google Analytics se puede utilizar para observar el impacto del lanzamiento en los usuarios.

Importante: Asegúrese de que App Check no se aplique para Firebase Firestore, RTDB y Cloud Storage mientras se implementa App Attest, ya que un servicio aplicado rechazará las solicitudes provenientes de cualquier instancia de aplicación que aún no tenga App Check habilitado. Para obtener más información sobre cómo aplicar App Check, consulte Aplicación Attest Enable .

lo que aprenderás

En este codelab de varios pasos, aprenderá cómo usar Firebase Remote Config para implementar App Check en su aplicación.

Este codelab utiliza un proyecto de Firebase basado en la aplicación de inicio rápido DatabaseExample e integrado con Firebase App Check, como se describe en el codelab de Firebase App Check para plataformas Apple . La aplicación de inicio rápido DatabaseExample permite a los usuarios iniciar sesión y agregar publicaciones utilizando las funciones de Firebase Realtime Database.

También puedes adaptar los pasos de este codelab para probar tu propia aplicación.

Requisitos previos

• Se completó la verificación de la aplicación Firebase para el codelab de plataformas Apple

Lo que necesitarás

• Xcode 12.5+
• Para pruebas de certificación de aplicaciones:
  • Una cuenta de desarrollador de Apple que le permite crear nuevos identificadores de aplicaciones
  • Una aplicación con un ID de aplicación explícito y con la capacidad App Attest habilitada. Consulte los artículos Registrar un ID de aplicación y Habilitar capacidades de la aplicación si necesita ayuda con el proceso.
  • Un dispositivo iOS/iPadOS que admita App Attest
• Proyecto Firebase con:
  • Una aplicación de iOS configurada ( más información )
  • Google Analytics , Remote Config y App Check habilitados
• Acceso al proyecto Firebase asociado a tu aplicación, con permisos para crear y administrar Remote Config y ver Google Analytics

2. Cree un proveedor de certificación personalizado

En este paso, crearemos una clase de proveedor personalizada para proporcionar un token solo cuando App Attest esté habilitado. Remote Config depende de una instancia de la aplicación Firebase configurada y el proveedor personalizado que implementes en este paso actúa como marcador de posición para finalizar la configuración.

Para completar los siguientes pasos, deberá agregar Firebase , FirebaseRemoteConfig y FirebaseAnalytics en la sección Marcos, bibliotecas y contenido integrado de su aplicación en Xcode. Para ver un ejemplo de cómo hacer esto, consulte el codelab de verificación de la aplicación Firebase para plataformas Apple .

1. Cree un archivo " MyAppCheckProvider " que sea una subclase de NSObject conforme al protocolo AppCheckProvider .
2. Incluye un método getToken() vacío que completarás más adelante.

Consulte el siguiente código de ejemplo para la clase de proveedor personalizado con el método getToken() vacío.

// MyAppCheckProvider.swift

import Firebase
import FirebaseAnalytics
import FirebaseAppCheck
import FirebaseRemoteConfig

class MyAppCheckProvider: NSObject, AppCheckProvider {
  func getToken(completion handler: @escaping (AppCheckToken?, Error?) -> Void) {}
}

Para crear una instancia AppAttestProvider , deberá pasar una instancia de la FirebaseApp correspondiente. Cree una propiedad almacenada para él y acéptela como parámetro de inicialización:

// MyAppCheckProvider.swift

import Firebase
import FirebaseAnalytics
import FirebaseAppCheck
import FirebaseRemoteConfig

class MyAppCheckProvider: NSObject, AppCheckProvider {
  // Firebase app instance served by the provider.
  let firebaseApp: FirebaseApp

  // The App Check provider factory should pass the FirebaseApp instance.
  init(app: FirebaseApp) {
    self.firebaseApp = app
    super.init()
  }

  func getToken(completion handler: @escaping (AppCheckToken?, Error?) -> Void) {}
}

Reenviar la solicitud de token al proveedor de App Attest

Ahora tiene todo para reenviar la solicitud de token al proveedor de App Attest en su método getToken() .

Nota: Obtenga más información sobre el método getToken() en la Referencia del marco FirebaseAppCheck .

Agregue el siguiente código a su método getToken() :

// MyAppCheckProvider.swift

import Firebase
import FirebaseAnalytics
import FirebaseAppCheck
import FirebaseRemoteConfig

class MyAppCheckProvider: NSObject, AppCheckProvider {
  // Firebase app instance served by the provider.
  let firebaseApp: FirebaseApp

  // The App Check provider factory should pass the FirebaseApp instance.
  init(app: FirebaseApp) {
    self.firebaseApp = app
    super.init()
  }

  private lazy var appAttestProvider = AppAttestProvider(app: firebaseApp)

  func getToken(completion handler: @escaping (AppCheckToken?, Error?) -> Void) {
    // Fetch App Attest flag from Remote Config
    let remoteConfig = RemoteConfig.remoteConfig(app: firebaseApp)
    remoteConfig.fetchAndActivate { remoteConfigStatus, error in
      // Get App Attest flag value
      let appAttestEnabled = remoteConfig.configValue(forKey: "AppAttestEnabled").boolValue

      guard appAttestEnabled else {
        // Skip attestation if App Attest is disabled. Another attestation
        // method like DeviceCheck may be used instead of just skipping.
        handler(nil, MyProviderError.appAttestIsDisabled)
        return
      }

      // Try to obtain an App Attest provider instance and fail if cannot
      guard let appAttestProvider = self.appAttestProvider else {
        handler(nil, MyProviderError.appAttestIsUnavailable)
        return
      }

      // If App Attest is enabled for the app instance, then forward the
      // Firebase App Check token request to the App Attest provider
      appAttestProvider.getToken(completion: handler)
    }
  }
}

enum MyProviderError: Error {
  case appAttestIsDisabled
  case appAttestIsUnavailable
  case unexpected(code: Int)
}

El código anterior verifica un parámetro booleano AppAttestEnabled de Remote Config (este parámetro de Remote Config se creará más adelante en el codelab). Si el valor es falso, el código falla, lo que indica que App Check no está implementado en el dispositivo actual. Si el valor es verdadero, el código intenta obtener un proveedor de certificación de aplicaciones y falla si no puede. Si se pasan estas comprobaciones de errores, el código reenviará la solicitud del token al proveedor de App Attest.

Agregar eventos de análisis

Al agregar eventos de Analytics, obtiene mejores conocimientos sobre el éxito de la implementación de App Check. Analytics ayudará a determinar si App Attest debe habilitarse para una audiencia más amplia.

Nota: Si no habilitó Google Analytics cuando creó su proyecto de Firebase, habilítelo en la página Integraciones de su proyecto y luego elimine y vuelva a agregar la aplicación. Cuando termine, debería ver su aplicación listada con un ID de transmisión en la página de Google Analytics en Firebase console.

Registre dos eventos de Analytics: AppAttestSuccess en caso de éxito y AppAttestFailure en caso de error. Estos dos eventos de Analytics pueden ayudarle a realizar un seguimiento del éxito de la implementación de App Check y ayudarle a decidir si se debe realizar una implementación más amplia.

func getToken(completion handler: @escaping (AppCheckToken?, Error?) -> Void) {
  // Fetch Remote Config.
  let remoteConfig = RemoteConfig.remoteConfig(app: firebaseApp)
  remoteConfig.fetchAndActivate { remoteConfigStatus, error in
    // Get App Attest flag value from Remote Config.
    let appAttestEnabled = remoteConfig.configValue(forKey: "AppAttestEnabled").boolValue

    guard appAttestEnabled else {
      // Skip attestation if App Attest is disabled. Another attestation
      // method like DeviceCheck may be used instead of just skipping.
      handler(nil, MyProviderError.appAttestIsDisabled)
      return
    }

    // Try to obtain an App Attest provider instance and fail otherwise.
    guard let appAttestProvider = self.appAttestProvider else {
      handler(nil, MyProviderError.appAttestIsUnavailable)
      return
    }

    // If App Attest is enabled for the app instance, then forward the
    // Firebase App Check token request to the App Attest provider.
    appAttestProvider.getToken { token, error in
      // Log an Analytics event to track attestation success rate.
      let appAttestEvent: String
      if (token != nil && error == nil) {
        appAttestEvent = "AppAttestSuccess"
      } else {
        appAttestEvent = "AppAttestFailure"
      }
      Analytics.logEvent(appAttestEvent, parameters: nil)

      // Pass the result to the handler
      handler(token, error)
    }
  }
}

3. Actualice la clase Provider Factory

Después de implementar la lógica para reenviar la solicitud de token al proveedor de App Attest y agregar algunos eventos de Analytics, debe actualizar MyAppCheckProviderFactory.class que creó en el codelab de App Check para plataformas Apple . Esta clase se dirigirá al proveedor de depuración App Check para simuladores y, de lo contrario, se dirigirá a su proveedor personalizado.

Edite el siguiente código en la clase MyAppCheckProviderFactory que creó en el codelab de Firebase App Check para plataformas Apple :

// MyAppCheckProviderFactory.swift

import Firebase

class MyAppCheckProviderFactory: NSObject, AppCheckProviderFactory {
  func createProvider(with app: FirebaseApp) -> AppCheckProvider? {
      #if targetEnvironment(simulator)
      // App Attest is not available on simulators.
      // Use a debug provider.
      let provider = AppCheckDebugProvider(app: app)

      // Print only locally generated token to avoid a valid token leak on CI.
      print("Firebase App Check debug token: \(provider?.localDebugToken() ?? "" )")

      return provider
      #else
      if #available(iOS 14.0, *) {
        // Use your custom App Attest provider on real devices.
        return MyAppCheckProvider(app: app)
      } else {
        return DeviceCheckProvider(app: app)
      }
      #endif
  }
}

Confirma que has configurado AppCheckProviderFactory antes de configurar FirebaseApp :

// DatabaseExampleApp.swift

import SwiftUI
import Firebase
import FirebaseAppCheck

@main
struct DatabaseExampleApp: App {
  init() {
    AppCheck.setAppCheckProviderFactory(MyAppCheckProviderFactory())
    FirebaseApp.configure()
  }

  // ...
}

4. Agregue un parámetro de Remote Config en Firebase console

Ahora agregará el parámetro AppAttestEnabled de Remote Config a Firebase console. Su método getToken requiere este parámetro.

Para crear un parámetro de Remote Config en Firebase console:

1. Abra Remote Config para su proyecto y haga clic en Agregar parámetro . Si es la primera vez que utiliza Remote Config, haga clic en Crear configuración .
2. En el campo Nombre del parámetro (clave) , ingrese AppAttestEnabled .
3. En el menú desplegable Tipo de datos , seleccione Booleano .
4. En el menú desplegable Valor predeterminado , seleccione falso .

Antes de hacer clic en Guardar, cree un valor condicional para el 10% de los usuarios:

1. Haga clic en Agregar nuevo > Valor condicional > Crear nueva condición .
2. En el campo Nombre , ingrese un nombre de condición.
3. En Se aplica si... , seleccione Usuario en percentil aleatorio , <= y luego ingrese 10 en el campo % .
4. Haga clic en Crear condición .

Establezca el valor condicional en verdadero para que App Attest se implemente al 10% de sus usuarios.

1. Establezca el valor en verdadero para la condición que acaba de crear.
2. Clic en Guardar .

Cuando haya terminado, publique los cambios de Remote Config.

Pruebe la implementación en su dispositivo

Para probar los diferentes valores del indicador de Remote Config en su dispositivo sin modificar el código de la aplicación, configure un experimento en el parámetro AppAttestEnabled siguiendo el tutorial Crear experimentos de Firebase Remote Config con pruebas A/B . La sección del tutorial " Valide su experimento en un dispositivo de prueba " explica cómo asignar diferentes valores a su dispositivo de prueba.

El último paso es utilizar Google Analytics para monitorear el éxito de la implementación de App Attest.

5. Revise el éxito de la implementación de AppCheck

Puede medir el éxito de su implementación en el panel de Eventos de Analytics. Esté atento a los eventos AppAttestSuccess y AppAttestFailure . Es posible que sean necesarias hasta 24 horas para ver los eventos en el panel. Alternativamente, puede habilitar la depuración y usar DebugView para ver los eventos de depuración más rápidamente.

Opcionalmente, puede monitorear el panel de Crashlytics para detectar aumentos en las tasas de accidentes. Para obtener más información sobre cómo agregar Crashlytics a tu aplicación, consulta Introducción a Firebase Crashlytics .

Una vez que vea principalmente eventos AppAttestSuccess y algunos eventos AppAttestFailure , es una buena señal de que puede aumentar el porcentaje de usuarios con App Attest habilitado modificando la condición en el parámetro AppAttestEnabled de Remote Config.

Opcional: aproveche la audiencia de Google Analytics

Si desea aprovechar aún más el evento de análisis AppAttestEnabled , puede crear una audiencia de análisis para realizar un seguimiento de los usuarios con AppAttestEnabled configurado en verdadero.

La aplicación Attest se lanzó con iOS 14.0. Es posible que algunos de sus usuarios no estén en esta versión y, por lo tanto, no sean elegibles para App Attest. Puede registrar otro evento de Analytics para realizar un seguimiento de estos usuarios y luego dirigirse a esa audiencia para otro método de certificación, como DeviceCheck .

Opcional: use Crashlytics para monitorear fallas

Para comprender mejor la estabilidad de su aplicación durante la implementación, use Firebase Crashlytics para monitorear fallas y no fatales.

6. ¡Felicitaciones!

Implementaste exitosamente App Check con Remote Config 🎉

Recursos adicionales:

• Inicios rápidos de Firebase para el repositorio de iOS
• Habilite la verificación de aplicaciones con App Attest en iOS
• Verificación de la aplicación Firebase en la documentación de Firebase
• Estableciendo la integridad de su aplicación
• Registrar una ID de aplicación
• Habilitar capacidades de la aplicación