iVarに機密データを一時的に保存するとセキュリティ上の脅威が生じますか？

Question

私のプログラムでは、プログラムのデータにアクセスするためのパスコードを作成しています。作成プロセスの間に以下のようにプログラムの流れは次のとおりです。

1. パスコードは、他に進んで一致した場合に再入力するパスコード
2. にユーザーに確認し、パスコード
3. を入力するようユーザーに尋ねると、1に進みます。プロセスを開始する

入力した2つのパスコードを比較するために、パスコードを一時的にインスタンス変数に格納します。これが潜在的なセキュリティホールとなりますか？もしそうなら、なぜこれが問題であり、あなたの解決策は何ですか？たぶんそれのハッシュバージョンを格納しますか？ありがとう！

Answer 1

iVarにパスワードを保存しても問題ありません。

あなた自身のために「セキュリティホール」を定義する必要があるかもしれません。もちろん、攻撃者が盗まれたiPhoneから格納されたメモリを読み取り、パスワードを再構築することは可能です。 しかし、そのデータは賢明ですか？

あなたの平文パスワードのメモリ内のすべての参照を削除、NULLバイト（入力したパスワードと同じ長さ）で、あなたのメモリを上書きすることで、セキュリティの概念を改善し、先ほど入力したパスワードのSHA256を保つことができます。 また、UIApplicationDidEnterBackgroundNotificationを受け取ったときにnull-bytes-overwriteとdeleteを確認してください。

しかし、私はそれを行う価値はないと思います。

Answer 2

パスワードをiVarに一時的に保存する際に問題はありません。