#行业资讯 苹果悄悄收紧 Apple App Store 第三方登录，开始要求硬件证明，Asspp 等可以管理多个账号下载应用的开源工具受影响。近期有网友发现 Asspp 无法正常登录，无论是否是真实账号都直接返回 HTTP 403，这意味着拒绝发生在账号校验前。网友逆向分析后发现苹果调整凭证生成机制，改成硬件级别的凭证生成和签名，因此想要绕过限制非常困难。查看全文：https://ourl.co/126536
苹果近期正在灰度调整 Apple App Store 认证机制，部分第三方客户端已经无法正常登录。像是 Asspp 这类开源多账户管理工具依赖用户通过自己的账号登录系统，而现在相关登录请求开始稳定返回 HTTP 403，这并非账号、IP 地址或 TLS 指纹问题。
网友 GlassFoxowo 在使用 Asspp 等工具时发现无法正常登录，登录时相关接口返回 HTTP 403，网友先后测试旧版和新版认证端点并更换不同的出口 IP 和 UA 等都无法正常登录，更关键的是即便是不存在的账号尝试登录时也会返回完全相同的错误。
这意味着登录失败发生在凭证校验前，因此这并非用户账户问题，而是苹果在服务端收紧限制导致的登录失败，像这类失败是无法解决的，毕竟 Asspp 这类开源项目使用的是苹果私有端点而非公开的 API 认证端点。
网友对苹果相关组件进行逆向后发现，目前苹果在应用商店里使用的凭证正在转向私有访问凭证机制，相关令牌需要使用苹果 A 和 M 系列芯片中的安全隔离区 (独立安全子系统) 结合 P-384 密钥签名，这类签名生成和使用都受到严格的校验限制。
这意味着第三方应用无法通过简单伪造请求参数或模拟客户端完成认证，因为关键证明必须由苹果控制的系统进程和安全隔离区硬件共同生成。测试表明当前尚未过期的凭证仍然可以使用，但如果账号登录过期需要重新登录，则现在无法正常登录。
从目前苹果实施的技术限制来看，想要绕过限制是非常有难度的，这次变更可能会直接终结依赖私有接口实现 Apple ID 和 IPA 安装包下载的工具。
消息源：GlassFoxowo
