Где лучше хранить ключи для api в ios приложении?

Question

[Evgeny Svirsky]

Добрый день.
Подскажите, где в ios-приложении лучше всего хранить ключи от стороннего API (clientid, clientsecret) ну и другие секретные credential-ы. Читал что в config файле такие данные хранить нельзя, потому что конфиг можно скачать, установив приложение и подсмотреть.
Есть еще preprocessor macro. Стоит ли туда их пихать?
Может какие-то другие варианты.

Спасибо.

Answer 1

[Evgeny Svirsky]

Наверное самый безопасный спобоб это хранить в keyChain такие данные.
Тут описано как это сделать:
https://www.raywenderlich.com/6475/basic-security-...

Comments

[ManWithBear]

Evgeny Svirsky и как это решает вопрос с ключами? В кейчейн данные до запуска приложения не засунешь. А при запуске ключи уже нужны.

[Evgeny Svirsky]

когда реализую это через keychain постараюсь не забыть и описаться и рассказать как это решает вопрос)

[ManWithBear]

Evgeny Svirsky: а хотя бы в теории? Если ключи не приходят с сервера, то они в любом случае должны быть в приложении.

Answer 2

[Petrushka]

я обычно кидаю в класс констант

Comments

[Evgeny Svirsky]

Константы это конечно хорошо, но хочется по феншую - все настройки в одном месте :)

[Alexander D.]

Правильно. Все - в один класс с настройками :) Можно в бинарнике хранить и шифровать. В любом случае - перехватить очень просто любые ключи в момент передачи данных на сервер, так что делайте static const или #define и складывайте в одно место. И стоит постараться не хранить clientsecret на устройстве.

[Evgeny Svirsky]

Разве так просто можно получить данные из установленного приложения на телефон? То бишь константы классов? Как же тогда client_secret спратять...

[ManWithBear]

Evgeny Svirsky: через консоль по приложению можно получить все строки и прочие такие вещи.

[Evgeny Svirsky]

хмм. а разве в app store не отдаётся скомпилированный проект в бинарниках? Где же тогда хранить эти уязвимые данные...

[Герман Полянский]

Evgeny Svirsky: чего? если тебе нужно скрыть что-то от apple, то получай список ключей от сервера и сохраняй их в класс с настройками

Answer 3

[Герман Полянский]

дефайнить (#define) в модель или в помощник модели. Если ты конечно правильно используешь MVC