ios - 为什么我们不应该将用于加密的密码或 key 存储在 iPhone 应用程序的源代码中？

Question

为什么我们不应该在 iPhone 应用程序的源代码中存储用于加密的密码或 key ？

人们是否有可能对代码进行逆向工程并找到存储的 key ？或者硬编码值是否存储在易于访问的位置？

Answer 1

如果您将 key 存储在源代码中，是的，它们可以被逆向工程。您可以通过生成器函数“生成” key 来使这变得更加困难，但这仍然是一个额外的混淆级别。一个真正有动机的攻击者可以通过它。这种方法的另一个缺点是相同的 key 将适用于应用程序的所有实例，除非生成器函数生成从某些硬件常量派生的 key 。

同样，您必须分析您希望应用程序的安全性以及您希望在安全性方面付出多少努力。安全始终是一种权衡。当攻击的可能性或成本极不可能时，在安全性上花费大量精力是不值得的。

一种更安全的方法是创建一个随 secret 钥，然后将其存储在设备上的安全存储器中。我不太熟悉 iOS Api 以及是否提供此类功能。在 Windows 上有一个叫做 DPAPI 的东西例如，它提供了这一点。