0

基本的なことで申し訳ないのですが教えてください。

開発時点でkeychainに事前に公開鍵などの情報を格納するにはどのように行えば良いのでしょうか?

keychainはentitlements fileにkeychain access groupsに利用されるitemが格納される程度の理解度です。
Xcodeなどからkeychainのベースを編集できたりできるものなのでしょうか?

公開鍵をコードに記述すれば可能なのはわかるのですが、ハードコーディングはセキュリティ上問題との指摘がよくあります。
アプリの稼働時に生成された値等をkeychainに格納することについては分かっています。

ネット上に記載があまりなく、そもそもできるものなのかさえも分からず困っております。
また、できない場合のベストプラクティスは何でしょうか?
乱数等の推測困難なURLにアクセスさせ、公開鍵をダウンロードする等は考えられるのですが、これについてもURLのハードコーディングは発生してしまいます。そうなると難読化で対応ということでしょうか?一応OWASPのセキュリティガイドなどは読んでおります。
ご教示お願いいたします。

2
  • 目的は開発したアプリへのデジタル署名でしょうか?その辺りを明記されると回答が集まりやすいと思います。 Commented 2020年10月7日 23:41
  • サービス提供者側が通信してくるアプリが真正のアプリなのかを判断したいと考えております。そのためにはアプリのダウンロード時にユーザーには取得できない場所にデータが格納されれば、そのデータのサーバーへの送信で真偽判定が可能だと思います。デジタル署名というのはユーザー側がアプリの真正性を判断するものであるとの認識です。アプリのダウンロード時に端末のキーチェーンにサーバーからデータを格納させるような仕組みがあったりするのでしょうか?
    – FisherTjp
    Commented 2020年10月8日 3:20

0

この質問に回答するには、ログインする必要があります。

のタグが付いた他の質問を参照する。