Безопасно ли хранить ключ безопасности во время сеанса пользователя на iPad / iPhone? - PullRequest
0 голосов
/ 30 июля 2010

В моем приложении после аутентификации пользователь получает своего рода ключ безопасности, который необходимо сохранить для его сеанса на iPhone / iPad. Этот ключ безопасности используется для всех его будущих запросов во время сеанса. Насколько безопасно хранить ключ в какой-то глобальной переменной, как только я его получу? Можно ли получить к нему доступ, если iPhone взломан? Если так, что было бы безопасным местом для хранения сеансового ключа?

Спасибо, Hetal

1 Ответ

1 голос
/ 30 июля 2010

Кого ты волнуешься, собирается украсть код? Пользователь или другая вредоносная программа? Если пользователь и код очень ценны, вы должны предположить, что любой, кто имеет физический доступ к устройству, теоретически может взломать его. Но на практике вы в безопасности. Вы можете зашифровать код, пока он находится в памяти, и дешифровать его только тогда, когда вы его используете.

Опять же, на практике веб-приложения делают это все время с помощью файлов cookie. Если код действителен только для одного сеанса, вы, вероятно, в безопасности, если он скомпрометирован. Возможно, вы захотите считать код «безопасным», пока он находится в памяти, но используйте другую защиту, чтобы определить, когда и если он действительно будет украден. т.е. код должен быть действительным только в течение 10 минут, а затем должен быть обновлен, действителен только с одного IP-адреса или ограничен количеством транзакций и т. д. В зависимости от потребностей вашего приложения.

...