Question

我使用Keychain允许在远程应用中通过TouchID登录。我担心的是攻击者在越狱设备中设置断点并恢复用户名和密码，我尝试了这种方法让信息在内存上花费的时间更短。

我想知道我是否需要这种程度的偏执，如果我使用正确的方法。

KeychainItemWrapper *keychainItem = [[KeychainItemWrapper alloc] 
                                    initWithIdentifier:@"MyAppLogin" accessGroup:nil];
NSString *password = [keychainItem objectForKey:(__bridge id)(kSecValueData)];
NSString *username = [keychainItem objectForKey:(__bridge id)(kSecAttrAccount)];
if (!username || !password) {
    self.layoutState = kLayoutStateNormal;
    return;
}
// forget everything you know about my password
keychainItem = nil;
password = nil;
username = nil;

Answer 1

将NSString个实例设置为nil不会从内存中删除内容，也不会将内容归零，只会删除指针。内容将继续存在，直到重新使用该内存。

如果使用“C”字符串（字符数组），则可以清除它们。但由于您的代码中使用了NSString和username，您可能需要password。

很难无法从所有者/用户那里获取有关iDevice的信息。圆顶最好的是增加工作因子以获取信息。

钥匙串解锁内部应用程序，这种方法安全吗？

1 个答案: