> Какие подходы по обеспечению безопасности мобильного приложения и инфраструктуры применить (iOS, Swift)

Уровень: senior · Роль: mobile · Категория: Технические вопросы

Компании: Московская биржа

Стек: iOS, Swift

> Пример ответа

Для обеспечения безопасности iOS-приложения и инфраструктуры я применяю комплексный подход, охватывающий несколько уровней.

На уровне приложения (iOS/Swift):

Шифрование данных: Использую CryptoKit для симметричного шифрования (AES-GCM) и асимметричного (Curve25519) для защиты данных на устройстве. Для ключей применяю Keychain с атрибутом kSecAttrAccessibleWhenUnlockedThisDeviceOnly.
Безопасное хранение: Пароли и токены храню в Keychain, используя библиотеки типа KeychainAccess. Для UserDefaults применяю шифрование чувствительных полей.
Сетевая безопасность: Настраиваю App Transport Security (ATS) с обязательным HTTPS и Certificate Pinning через URLSessionDelegate для защиты от MITM-атак. Использую Alamofire с кастомным ServerTrustManager.
Защита от реверс-инжиниринга: Обфусцирую код с помощью SwiftShield, отключаю NSLog и print в релизной сборке через флаги компиляции. Также применяю jailbreak detection (например, проверка наличия Cydia) и защиту от отладки через ptrace с PT_DENY_ATTACH.
Безопасность UI: Избегаю отображения чувствительных данных в UITextField без isSecureTextEntry, обрабатываю UIApplicationWillResignActiveNotification для скрытия экрана.

На уровне инфраструктуры:

API-безопасность: Использую OAuth 2.0 с PKCE для авторизации, подписываю запросы HMAC-ключами. Все API-эндпоинты защищены rate limiting и WAF.
CI/CD: Внедряю статический анализ кода (SwiftLint, Semgrep) и динамическое тестирование (OWASP ZAP) в пайплайн. Использую fastlane с match для безопасного управления сертификатами и профилями.
Мониторинг: Настраиваю логирование аномалий (например, через Firebase Crashlytics с фильтрацией чувствительных данных) и алерты на подозрительную активность (множественные неудачные логины).
Серверная часть: Все данные передаются по TLS 1.3, сертификаты ротируются, базы данных зашифрованы (TDE), а доступ к ним ограничен через VPC и IAM-политики.

Регулярные практики: Провожу code review с фокусом на OWASP Mobile Top 10, пентесты раз в квартал и обновляю зависимости (CocoaPods/SPM) для закрытия уязвимостей.