EDIT: См. Обсуждение под ним. Мудрый вывод: возможно, лучший ответ: «Не беспокойтесь, поместите ключ в код», есть большой рабочий фактор для получения ключа.
Если вы храните секретный токен в приложении, существует риск, что он будет легко восстановлен как простая строка. Вы можете узнать больше об этом в Reverse Engineering iOS Apps.
Вы не можете предотвратить его полностью, но вы можете скрыть данные о пароле путем разделения на более мелкие куски пароля, держать их друг от друга в коде, и использовать некоторый алгоритм немого дешифрования для получения окончательной формы, как это:
func crypt(string: String) -> [UInt32] {
return string.unicodeScalars.enumerated().map { index, char in
return char.value + UInt32(index)
}
}
func decrypt(chars: [UInt32]) -> String {
return chars.enumerated().map { (index, char) -> String in
let s = UnicodeScalar(char - UInt32(index))!
return "\(Character(s))"
}.joined()
}
let clearPassword = "Acb,321"
let cryptedChars = crypt(string: clearPassword)
let decrypted = decrypt(chars: cryptedChars)
let c1: UInt32 = 65
let c2: UInt32 = 100
let c3: UInt32 = 100
let c4: UInt32 = 47
let c5: UInt32 = 55
let c6: UInt32 = 55
let c7: UInt32 = 55
let decryptedScattered = decrypt(chars: [c1, c2, c3, c4, c5, c6, c7])
Не идеально, но должно быть достаточно для простых атак, и более продвинутые, возможно, слишком дороги для продолжения.
Лучше всего избегать использования CryptoSwift, а другие - от 100 до 1000 раз медленнее, чем на основе Common Crypto. Common Crypto от Apple является сертифицированным FIPS и, как таковой, был хорошо проверен, использование CryptoSwift дает шанс на правильность и безопасность. – zaph
Вы можете обфускать хранилище ключей в своем коде; храните его в нескольких кусках, храните его в форме, требующей некоторых математических операций для восстановления ключа и т. д., это затруднит для злоумышленника извлечение вашего ключа, но мало что можно сделать для защиты от определенного злоумышленника, поскольку в конечном счете ключ находится где-то. – Paulw11
@ Paulw11 Защита от владельца по существу невозможна, но защита от кого-то с физическим хранением зависит от качества кода блокировки, заблокированное устройство защищено от практически любого злоумышленника. – zaph