ios - 应用程序内的钥匙串(keychain)解锁，这种方法安全吗？

Question

我正在使用 Keychain 允许在远程应用程序中通过 TouchID 登录。我担心的是攻击者在越狱设备中设置断点并恢复用户名和密码，我尝试了这种方法来让信息在内存中的时间尽可能少。

我想知道我是否需要这种程度的偏执以及我使用的方法是否正确。

KeychainItemWrapper *keychainItem = [[KeychainItemWrapper alloc] 
                                    initWithIdentifier:@"MyAppLogin" accessGroup:nil];
NSString *password = [keychainItem objectForKey:(__bridge id)(kSecValueData)];
NSString *username = [keychainItem objectForKey:(__bridge id)(kSecAttrAccount)];
if (!username || !password) {
    self.layoutState = kLayoutStateNormal;
    return;
}
// forget everything you know about my password
keychainItem = nil;
password = nil;
username = nil;

Answer 1

将 NSString 实例设置为 nil 不会从内存中删除内容，不会将内容归零，只会删除指针。内容将继续存在，直到该内存被重新使用。

如果您使用“C”字符串(字符数组)，您可以清除它们。但是由于在代码中使用了 username 和 password，您可能需要 NSString。

要让所有者/用户知道有关 iDevice 的信息是非常困难甚至不可能的。最好的办法是增加获取信息的工作因素。