將敏感數據添加到iOS應用程序構建

Question

將敏感數據添加到iOS應用程序的最佳做法是什麼？ 對於敏感數據，我指的是與某些外部服務器進行通信的密鑰或令牌。

我們可以在應用程序中編譯證書，並且iOS可以在安裝時刪除它嗎？

我覺得我們不能100％保證它的安全性，但是我們可以添加的最佳實踐層是什麼。

Answer 1

沒有任何機制可以確保服務器只允許您的應用程序與其通話。所以如果這是你的目標，那麼它是無法解決的。這已經在SO上討論過死亡。短短數：

• Secure Communication Between iPhone and Server?
• Store an encryption key in Keychain while application installation process
• Secure https encryption for iPhone app to webpage

（而這些帖子中的諸多環節。）

和其他地方：

• Obfuscating Cocoa

您無法驗證設備或軟件。您只能驗證用戶身份。這意味着登錄。如果沒有部分存儲在用戶大腦中的登錄信息（或者至少與iPhone分離），這只是模糊處理。

現在，這並不意味着混淆無用。事實並非如此。您可以從簡單的身份驗證令牌（如客戶端密鑰）中獲得一些里程數，但不要期望它能夠在攻擊中倖存下來。這並不意味着你不應該這樣做;它只是意味着你不應該花很多時間/金錢，因爲它會很快失敗。

在任何情況下，您都不應該執行支付給客戶的東西。閱讀上面鏈接的幾個線程（以及從這些線程鏈接的幾個線程）。如果在那之後，你仍然絕對需要一個解決方案，那麼你需要聘請一個人來跟蹤裂縫，並在每次出現新裂縫時修復它們。它永遠不會停止。