Как будешь сохранять secure данные?

Основные подходы к сохранению secure данных в iOS

Защита данных в iOS — комплексная задача, требующая применения нескольких слоев безопасности, от базовых до специализированных. Моя стратегия всегда основана на принципе минимализации рисков: хранить только необходимые данные и использовать максимально защищенные методы, доступные на целевой версии iOS.

1. Keychain Services — основной инструмент для хранения секретов

Для критически важных данных (пароли, токены, ключи) первым выбором всегда является Keychain. Это защищенное системное хранилище, изолированное от файловой системы приложения, с дополнительными возможностями шифрования на уровне устройства.

import Security

func saveToKeychain(key: String, data: String) -> Bool {
    let data = data.data(using: .utf8)!
    let query: [CFString: Any] = [
        kSecClass: kSecClassGenericPassword,
        kSecAttrAccount: key,
        kSecValueData: data,
        kSecAttrAccessible: kSecAttrAccessibleWhenUnlocked // Доступ только при unlocked устройстве
    ]
    
    let status = SecItemAdd(query as CFDictionary, nil)
    return status == errSecSuccess
}

Ключевые параметры для безопасности в Keychain:

• kSecAttrAccessible: определяет условия доступа (например, kSecAttrAccessibleAfterFirstUnlock для background процессов).
• kSecAttrAccessControl (iOS 8+): позволяет задавать биометрические или парольные ограничения через SecAccessControl.
• Использование общего Keychain (kSecAttrAccessGroup) для обмена данными между приложениями одного разработчика.

2. Шифрование данных перед сохранением в менее защищенные хранилища

Если данные нужно сохранить в файлы, UserDefaults или базы данных (Core Data/SQLite), их обязательно нужно предварительно шифровать.

import CryptoKit

func encryptAndSaveData(_ sensitiveString: String, key: SymmetricKey) throws {
    let data = sensitiveString.data(using: .utf8)!
    let sealedBox = try AES.GCM.seal(data, using: key)
    
    // Сохраняем только комбинацию nonce + ciphertext + tag
    let combinedData = sealedBox.combined!
    UserDefaults.standard.set(combinedData, forKey: "encryptedData")
}

Современные библиотеки для шифрования:

• CryptoKit (iOS 13+): стандартный, безопасный API для симметричного (AES.GCM) и асимметричного шифрования.
• CommonCrypto: для поддержки старых версий iOS, но требует осторожности в реализации.
• Ключевой момент: ключи шифрования никогда не хранятся в коде или простых файлах — только в Keychain или получаются из безопасного сервера.

3. Адаптация под новые возможности системы: Data Protection и Secure Enclave

iOS предоставляет аппаратно-уровневую защиту, которую необходимо использовать:

• Data Protection Class: при сохранении файлов через Data.write(to:options:) можно указать уровень защиты:

  try data.write(to: fileURL, options: .completeFileProtection) // Самый строгий класс
  

    * `.completeFileProtection`: файл доступен только при unlocked устройстве.
    * `.completeFileProtectionUnlessOpen`: для файлов, которые должны быть читаемыми в background.

• Secure Enclave: для операций, требующих максимальной безопасности (генерация ключей, биометрические операции). Используется через SecKeyCreateRandomKey с параметром kSecAttrTokenIDSecureEnclave.

4. Практические правила и архитектурные решения

В реальных проектах я применяю следующие паттерны:

• Создание SecurityManager: централизованный класс, инкапсулирующий все операции с безопасностью, для избежания дублирования и ошибок.
• Минимализация времени жизни секретов в памяти: очистка Data и строк после использования.
• Отказ от хранения чувствительных данных в логах и дебаг информации.
• Использование Certificate Pinning для защиты сетевых запросов, передающих секретные данные.
• Регулярная ротация ключей и токенов по стратегии, согласованной с backend.
• Валидация безопасности на уровне CI/CD: проверка, что в коде нет хардкоденных паролей или ключей.

5. Особые случаи: биометрические данные и аутентификация

Для Touch ID/Face ID используем LocalAuthentication framework в комбинации с Keychain:

import LocalAuthentication

let context = LAContext()
context.evaluatePolicy(.deviceOwnerAuthentication, 
                       localizedReason: "Для доступа к секретным данным") { success, error in
    if success {
        // Доступ к Keychain или зашифрованным данным
    }
}

Важно: биометрическая аутентификация — это лишь gate, а сами данные защищены Keychain или шифрованием.

Заключение

Сохранение secure данных в iOS — это не один метод, а стратегия, сочетающая системные возможности (Keychain, Data Protection) с правильной архитектурой приложения. Начинаем с максимально защищенного хранилища (Keychain), дополняем шифрованием для данных, которые должны храниться иначе, и всегда адаптируем подход под новые API (CryptoKit, Secure Enclave). Ключевой принцип — секретные данные никогда не должны находиться в незащищенной форме в файловой системе или памяти без необходимости.