围绕iOS的安全性共享NSHTTPCookieStorage

Question

我很难找到关于此的确切细节,所以我希望在这里得到一些帮助.我正在寻找有关iOS共享NSHTTPCookieStorage的底层存储机制的一些信息:

• 当使用共享NSHTTPCookieStorage存储cookie时,默认情况下是否提供任何加密,例如使用钥匙串服务？或者使用NSUserDefaults将cookie简单地存储在纯文本中？
• 我知道cookie存储在应用程序的沙箱中,因此其他应用程序无法访问,但我的理解是正确的,有物理访问设备的人可以轻松访问应用程序的cookie及其值(特别是如果它们未加密存储) )？

如果一个人必须处理cookie中的一些敏感数据,但想要利用NSURLSession API的默认cookie处理/存储(共享NSHTTPCookieStorage),那么什么才是最佳选择？

对不起,我知道我已经问了3个单独的问题,但对此的任何帮助将不胜感激.

谢谢.

Answer 1

我不知道 cookie 具体是如何存储的，但所有应用程序文件都在 iOS 上加密，并使用特定于该应用程序的 AES256 密钥。这些密钥源自其他密钥，这些密钥最终来自 CPU 芯片内的“安全飞地”，只有当用户解锁设备时才会释放密钥。（Apple 有一份相当全面的 iOS 安全白皮书，详细描述了这一点。）

因此，即使通过物理访问，在 iOS 上访问文件也相当困难，除非您可以获取设备的密码并将其解锁。常规 cookie 存储对于您的目的来说可能足够安全。