מיכלון נתונים ארגוני באפליקציות מובייל

דואר ארגוני באייפון אישי: עובד מעתיק קובץ מצורף — והנתונים הופכים מיד לנגישים לכל האפליקציות שלו דרך הלוח המשותף. 70% מהחברות עם מדיניות BYOD מתמודדות עם דליפות כאלה. המהנדסים שלנו מציעים קונטיינריזציה של נתונים ארגוניים — בידוד רב-שכבתי ממערכת הקבצים ועד לתעבורת הרשת.这不是 רק הצפנה, אלא הגנה מקיפה: VPN לכל אפליקציה, לוח פרטי, וקונטיינר קבצים ייעודי. מאמר זה מכסה את היישום של קונטיינר נתונים ב-iOS וב-Android עם דוגמאות קוד.

לפי Apple Keychain Services, הצפנת חומרה זמינה דרך Secure Enclave. כעת נפרק כיצד זה עובד בשתי הפלטפורמות.

כיצד לבודד נתונים ארגוניים מנתונים אישיים ב-iOS וב-Android?

iOS: Keychain Access Groups + Data Protection API. פריטי Keychain עם accessGroup משותף נגישים למספר אפליקציות מאותו ספק — זהו מנגנון שיתוף הסודות הבסיסי. לצורך בידוד, אנו עושים ההפך: לכל אפליקציה יש קטע Keychain משלה שאינו נגיש לאחרים ללא Access Group מפורש.

מחלקות Data Protection קובעות מתי הנתונים מפוענחים:

// Файл доступен только при разблокированном устройстве
let attrs: [FileAttributeKey: Any] = [
    .protectionKey: FileProtectionType.complete
]
try FileManager.default.setAttributes(attrs, ofItemAtPath: filePath)

// Для Keychain-записей
let query: [String: Any] = [
    kSecAttrAccessible as String: kSecAttrAccessibleWhenUnlockedThisDeviceOnly
]

// Файл доступен только при разблокированном устройстве let attrs: [FileAttributeKey: Any] = [ .protectionKey: FileProtectionType.complete ] try FileManager.default.setAttributes(attrs, ofItemAtPath: filePath) // Для Keychain-записей let query: [String: Any] = [ kSecAttrAccessible as String: kSecAttrAccessibleWhenUnlockedThisDeviceOnly ] — המפתח קשור למכשיר (לא מועבר ל-iCloud Backup) ונגיש רק כשהמסך לא נעול. עבור נתונים ארגוניים, זו רמת הגנה מינימלית מספקת.

Android: Work Profile + EncryptedSharedPreferences + Keystore. Work Profile יוצר מרחב משתמש מבודד עם מופע Keystore נפרד. kSecAttrAccessibleWhenUnlockedThisDeviceOnly מצפין מפתחות וערכים באמצעות ספריית Tink:

val masterKey = MasterKey.Builder(context)
    .setKeyScheme(MasterKey.KeyScheme.AES256_GCM)
    .build()
val sharedPreferences = EncryptedSharedPreferences.create(
    context,
    "corporate_prefs",
    masterKey,
    EncryptedSharedPreferences.PrefKeyEncryptionScheme.AES256_SIV,
    EncryptedSharedPreferences.PrefValueEncryptionScheme.AES256_GCM
)

עבור קבצים — EncryptedSharedPreferences מ-val masterKey = MasterKey.Builder(context) .setKeyScheme(MasterKey.KeyScheme.AES256_GCM) .build() val sharedPreferences = EncryptedSharedPreferences.create( context, "corporate_prefs", masterKey, EncryptedSharedPreferences.PrefKeyEncryptionScheme.AES256_SIV, EncryptedSharedPreferences.PrefValueEncryptionScheme.AES256_GCM ) :

val encryptedFile = EncryptedFile.Builder(
    context,
    File(context.filesDir, "corporate_document.enc"),
    masterKey,
    EncryptedFile.FileEncryptionScheme.AES256_GCM_HKDF_4KB
).build()
encryptedFile.openFileOutput().use { output ->
    output.write(corporateData)
}

השוואה: Keychain עם Access Group מאובטח פי 10 מאחסון ב-UserDefaults בזכות הצפנת חומרה. ב-Android, EncryptedSharedPreferences משתמש ב-AES-256, שהוא אמין פי 5 מ-SharedPreferences רגיל.

מדוע VPN לכל אפליקציה הוא רכיב אבטחה קריטי?

נתונים ארגוניים לא חייבים לדלוף דרך ערוצי רשת אישיים. יישום דרך VPN לכל אפליקציה:

• iOS: EncryptedFile + תצורת MDM. MDM מקצה VPN למזהה bundle ספציפי. תעבורה מאותה אפליקציה עוברת דרך VPN ארגוני; תעבורה מאפליקציות אישיות עוברת ישירות.
• Android: androidx.security:security-crypto עם val encryptedFile = EncryptedFile.Builder( context, File(context.filesDir, "corporate_document.enc"), masterKey, EncryptedFile.FileEncryptionScheme.AES256_GCM_HKDF_4KB ).build() encryptedFile.openFileOutput().use { output -> output.write(corporateData) } ב-NEAppProxyProvider. רק החבילות הרשומות מנותבות דרך מנהרה.

ללא VPN לכל אפליקציה, החלופה היא VpnService עם allowedApplications והגדרות Corporate Proxy כפויות דרך VpnProfile.

VPN לכל אפליקציה מבטיח שתעבורת אפליקציות ארגוניות לא מתערבבת עם תעבורה אישית, ומפחית את הסיכון לדליפה דרך רשתות Wi-Fi לא מאובטחות. זו דרישת חובה לעמידה ב-PCI DSS ו-HIPAA.

קונטיינר קבצים: יישום מותאם אישית

עבור אפליקציות הדורשות שליטה מלאה בהצפנה (פיננסיות, רפואיות), ייתכן שיהיה צורך בקונטיינר קבצים מותאם אישית — דומה לנפח VeraCrypt אך ברמה הניידת.

container.vault
├── header (256 bytes): version, salt, PBKDF2 params, iv
├── index.enc: CBOR-манифест файлов (имя, размер, offset, per-file iv)
└── data.blob: конкатенация зашифрованных файлов (AES-256-GCM, per-file key)

let privatePasteboard = UIPasteboard.withUniqueName()
privatePasteboard.setData(corporateData, forPasteboardType: UTType.plainText.identifier)
privatePasteboard.setPersistent(false) // Автоматически удаляется при следующем запуске или через TTL