אחסון מפתחות מאובטח ב-Secure Enclave עבור ארנק קריפטו ב-iOS

אחסון מאובטח של מפתחות ב-Secure Enclave עבור ארנק קריפטו ב-iOS

בעיה אופיינית של ארנק קריפטו ב-iOS: המפתח הפרטי המאוחסן ב-Keychain עלול להיגנב אם המכשיר נפרץ או עבר Jailbreak. Secure Enclave (SE) הוא מעבד מבודד חומרתית בתוך שבב Apple SoC, המבטיח שהמפתח לעולם לא עוזב את השבב. אנו מציעים אינטגרציה עם SE להגנה מרבית. הניסיון שלנו משתרע על שנים בפיתוח iOS ובקריפטוגרפיה. אנו מיישמים הכל במפתחות מלאה: מתכנון ועד בדיקות על מכשירים פיזיים.

תיעוד רשמי של Apple: Secure Enclave הוא מודול אבטחה חומרתי המבודד מהמעבד הראשי.

כיצד Secure Enclave מגן על מפתחות פרטיים

SE יוצר ומאחסן מפתחות בתוך השבב שלו. פעולת החתימה מתבצעת בתוך SE; רק התוצאה מוחזרת החוצה. אפילו הקוד שלך אינו ניגש ישירות למפתח הפרטי. בשילוב עם kSecAttrAccessControl ודגל .biometryCurrentSet, המפתח מבוטל אוטומטית כאשר הביומטריה של המשתמש משתנה. משמעות הדבר היא שכאשר מתווספת טביעת אצבע חדשה או Face ID חדש, המפתח הישן הופך לבלתי נגיש — יש ליצור חדש. עבור ארנק קריפטו, התנהגות זו היא חובה.

מגבלות שכדאי לדעת לפני שמתחילים

Secure Enclave תומך רק ב-P-256 (secp256r1, הידוע גם כ-NIST P-256). הוא אינו תומך ב-secp256k1, המשמש את ביטקוין ואת'ריום. לכן, SE אינו מתאים לאחסון ישיר של מפתחות פרטיים של ETH/BTC. שימוש אופייני לארנק קריפטו הוא אחסון ב-SE של מפתח ההצפנה שמצפין את המפתח הפרטי secp256k1 ב-Keychain. לחלופין, ניתן להשתמש ב-SE להגנה ביומטרית על רשומת ה-Keychain באמצעות SecAccessControlCreateWithFlags.

אם האפליקציה שלך עובדת עם בלוקצ'יין המשתמש ב-P-256 (לדוגמה, כמה רשתות ארגוניות או פרוטוקול NEAR באמצעות ed25519), ניתן להשתמש ב-SE לאחסון וחתימה ישירים.

מדוע SE אינו מתאים לביטקוין ואת'ריום

ביטקוין ואת'ריום משתמשים באלגוריתם secp256k1, ש-SE אינו תומך בו. הפתרון הוא סכמת הצפנה: צור מפתח P-256 זמני ב-SE, צור מפתח secp256k1 בזיכרון, הצפן אותו עם המפתח הציבורי של SE באמצעות ECIES, ואחסן את הבלוב המוצפן ב-Keychain. בעת חתימה, פענח באמצעות SE (עם ביומטריה), השתמש במפתח secp256k1 לחתימה, ואפס את הזיכרון מיד. זה בטוח יותר מאשר Keychain רגיל, מכיוון שהמפתח לעולם לא מאוחסן בדיסק בצורה ברורה.

השוואת שיטות אחסון

Secure Enclave בטוח בסדרי גודל מאשר אחסון תוכנתי: המפתח מבודד פיזית, מה שמונע גניבה באמצעות ניתוח זיכרון או פריקת דיסק. גם אם המכשיר נפרץ, תוקף אינו יכול לחלץ את המפתח הפרטי ללא אימות ביומטרי.

יישום חתימה ואחסון

יצירת מפתח ב-Secure Enclave

let accessControl = SecAccessControlCreateWithFlags(
    nil,
    kSecAttrAccessibleWhenUnlockedThisDeviceOnly,
    [.privateKeyUsage, .biometryCurrentSet],
    nil
)!
let attributes: [String: Any] = [
    kSecAttrKeyType as String: kSecAttrKeyTypeECSECPrimeRandom,
    kSecAttrKeySizeInBits as String: 256,
    kSecAttrTokenID as String: kSecAttrTokenIDSecureEnclave,
    kSecPrivateKeyAttrs as String: [
        kSecAttrIsPermanent as String: true,
        kSecAttrApplicationLabel as String: "wallet-signing-key-v1",
        kSecAttrAccessControl as String: accessControl
    ]
]
var error: Unmanaged<CFError>?
guard let privateKey = SecKeyCreateRandomKey(attributes as CFDictionary, &error) else {
    throw error!.takeRetainedValue()
}

let accessControl = SecAccessControlCreateWithFlags( nil, kSecAttrAccessibleWhenUnlockedThisDeviceOnly, [.privateKeyUsage, .biometryCurrentSet], nil )! let attributes: [String: Any] = [ kSecAttrKeyType as String: kSecAttrKeyTypeECSECPrimeRandom, kSecAttrKeySizeInBits as String: 256, kSecAttrTokenID as String: kSecAttrTokenIDSecureEnclave, kSecPrivateKeyAttrs as String: [ kSecAttrIsPermanent as String: true, kSecAttrApplicationLabel as String: "wallet-signing-key-v1", kSecAttrAccessControl as String: accessControl ] ] var error: Unmanaged<CFError>? guard let privateKey = SecKeyCreateRandomKey(attributes as CFDictionary, &error) else { throw error!.takeRetainedValue() } היא ההוראה ליצירת מפתח ב-SE. kSecAttrTokenIDSecureEnclave מבטל את המפתח כאשר הביומטריה משתנה (טביעת אצבע חדשה או Face ID נוסף). עבור ארנק, התנהגות זו נכונה — נדרש אימות מחדש מפורש.

חתימת נתונים עם מפתח SE

let publicKey = SecKeyCopyPublicKey(privateKey)!
let algorithm: SecKeyAlgorithm = .ecdsaSignatureMessageX962SHA256
guard SecKeyIsAlgorithmSupported(privateKey, .sign, algorithm) else {
    throw WalletError.algorithmNotSupported
}
var signError: Unmanaged<CFError>?
guard let signature = SecKeyCreateSignature(
    privateKey,
    algorithm,
    dataToSign as CFData,
    &signError
) else {
    throw signError!.takeRetainedValue()
}

החתימה היא אסינכרונית מנקודת מבט של ממשק המשתמש — בזמן ש-SE מעבד את הבקשה (ואם יש צורך בביומטריה, בזמן שהמשתמש מאמת), הת'רד הראשי אינו חסום. יש למקם את כל הקריאה בתוך biometryCurrentSet או תור dispatch.

מה כלול בעבודה

• ביקורת על סכמת אחסון המפתחות הנוכחית ואיומים.
• תכנון הסכמה עם Secure Enclave (ישירה או עם הצפנה).
• יישום ב-Swift 5.9+ באמצעות Swift Concurrency.
• אינטגרציה עם ביומטריה (Face ID / Touch ID) באמצעות let publicKey = SecKeyCopyPublicKey(privateKey)! let algorithm: SecKeyAlgorithm = .ecdsaSignatureMessageX962SHA256 guard SecKeyIsAlgorithmSupported(privateKey, .sign, algorithm) else { throw WalletError.algorithmNotSupported } var signError: Unmanaged<CFError>? guard let signature = SecKeyCreateSignature( privateKey, algorithm, dataToSign as CFData, &signError ) else { throw signError!.takeRetainedValue() } .
• בדיקות על מכשירים פיזיים (כל דגמי היעד).
• תיעוד לתפעול והעברת מפתחות.
• הדרכת צוות התמיכה והפיתוח.

תהליך העבודה

כמה זמן לוקחת אינטגרציית SE?

לוחות הזמנים נעים בין 3 ל-14 ימים, תלוי במורכבות הסכמה. הסימולטור מספיק לרוב הפיתוח, אך בדיקות סופיות חייבות להתבצע על מכשיר.

צור קשר לייעוץ והערכת הפרויקט שלך — ננתח את הסכמה הנוכחית שלך ללא עלות ונציע את הפתרון האופטימלי. קבל הגנה אמינה לארנק הקריפטו שלך היום!