EDIT: Siehe die Diskussion darunter. Kluge Schlussfolgerung: Vielleicht ist die beste Antwort "stört nicht, steckt den Schlüssel in den Code", es gibt einen großen Arbeitsfaktor, um den Schlüssel zu erhalten.
Wenn Sie ein geheimes Token in der App speichern, besteht die Gefahr, dass es als einfache Zeichenfolge leicht wiederhergestellt werden kann. Sie können mehr darüber unter Reverse Engineering iOS Apps lesen.
Sie können es nicht ganz verhindern, aber Sie können Kennwortdaten verschleiern durch Passwort in kleinere Stücke, halten sie auseinander in dem Code, und verwenden Sie einige dumb-Entschlüsselungsalgorithmus zur endgültigen Form abzurufen, wie folgt aufgeteilt:
func crypt(string: String) -> [UInt32] {
return string.unicodeScalars.enumerated().map { index, char in
return char.value + UInt32(index)
}
}
func decrypt(chars: [UInt32]) -> String {
return chars.enumerated().map { (index, char) -> String in
let s = UnicodeScalar(char - UInt32(index))!
return "\(Character(s))"
}.joined()
}
let clearPassword = "Acb,321"
let cryptedChars = crypt(string: clearPassword)
let decrypted = decrypt(chars: cryptedChars)
let c1: UInt32 = 65
let c2: UInt32 = 100
let c3: UInt32 = 100
let c4: UInt32 = 47
let c5: UInt32 = 55
let c6: UInt32 = 55
let c7: UInt32 = 55
let decryptedScattered = decrypt(chars: [c1, c2, c3, c4, c5, c6, c7])
Nicht perfekt, aber sollte für einfache Angriffe ausreichen, und fortgeschrittenere wäre wahrscheinlich zu teuer, um fortzufahren.
Es ist am besten zu vermeiden, CryptoSwift zu verwenden, unter anderen Dingen ist es 100 bis 1000 mal langsamer als Common Crypto-basierte Implementierungen. Apples Common Crypto ist FIPS-zertifiziert und wurde daher gründlich geprüft. CryptoSwift nimmt die Chance auf Korrektheit und Sicherheit. – zaph
Sie können Ihren Schlüsselspeicher in Ihrem Code verschleiern; Speichern Sie es in mehrere Teile, speichern Sie es in einer Form, die einige mathematische Operationen benötigt, um den Schlüssel wiederherzustellen usw. Dies wird es für einen Angreifer schwieriger, Ihren Schlüssel zu extrahieren, aber es gibt wenig, was Sie tun können, um sich vor einem entschlossenen Angreifer zu schützen letztlich ist der Schlüssel irgendwo da. – Paulw11
@ Paulw11 Die Verteidigung gegen den Besitzer ist im Prinzip unmöglich, aber die Verteidigung gegen jemand anderen mit physischem Besitz hängt von der Qualität des Sperrcodes ab. Ein gesperrtes Gerät ist gegen praktisch jeden Angreifer sicher. – zaph