敏感数据：NSString VS NSMutableString (iPhone)

Question

我有一些敏感数据想在使用后直接清除。目前，敏感数据都是NSString的形式。根据我的理解，NSString 是不可变的，这意味着我无法真正清除数据。不过，NSMutableString 似乎更合适，因为它是可变的，并且具有诸如replaceCharactersInRange 和deleteCharactersInRange 之类的方法。我不了解实现细节，所以我想知道 NSMutableString 是否能满足我的目的？

Answer 1

我担心 NSMutableString 会尝试优化并将字符串保留在内存中。如果您想要更多控制，请尝试分配自己的内存，然后用它创建一个 NSString。如果这样做，您可以在释放内存之前覆盖它。

char* block = malloc(200);
NSString* string = [[NSString alloc] initWithBytesNoCopy:length:encoding:freeWhenDone];
//use string
memset(block, 0, 200);// overwrite block with 0
[string release];
free(block);

Answer 2

您需要使用 memset 函数用零擦除 c 指针，但是编译器可以优化 memset 调用，请参阅 从 iOS 内存中清除敏感数据的正确方法是什么？

所以代码可能是这样的：

NSString *string = @"hi";
unsigned char *stringChars = (unsigned char *)CFStringGetCStringPtr((CFStringRef)string, CFStringGetSystemEncoding());
safeMemset(stringChars, 0, [string length]);

但要小心清除 NSString 的底层 c 指针。例如，在设备上，如果字符串包含单词“password”，则底层 c 指针只会重用或指向系统使用的相同地址，并且尝试擦除该内存区域将会崩溃。

为了安全起见，您可能需要使用 char 数组而不是 char 指针来存储敏感字符串并在之后擦除它们，而无需将其放入 NSString 对象中。

Answer 3

如果攻击者可以读取内存的内容，那么您就完蛋了。

-release 字符串并完成。无法知道您是否已删除各种缓存中字符串的任何可能副本（例如是否将其绘制到屏幕等）。

您可能有更重要的安全问题需要担心。

Answer 4

从 iOS9 开始，从下面的代码片段获取的 NSString 内部指针已变为只读，并在尝试设置字节时生成错误访问。

unsigned char *stringChars = (unsigned char *)CFStringGetCStringPtr((CFStringRef)string, CFStringGetSystemEncoding());

使用 NSMutableString 是可能的，但是如果你有另一个 NSString 源，比如来自文本字段，那么该源仍然在内存中，你仍然不走运。

如果您要创建一个新的 NSString，最好的方法是使用底层字节数组实现您自己的 String 类。提供一种使用底层字节数组作为内部指针来创建 NSString 副本的方法：

-(NSString *)string
{
    return [[NSString alloc] initWithBytesNoCopy:_buff length:_length encoding:NSUTF8StringEncoding freeWhenDone:NO];
}

// Will prematurely wipe data and all its copies when called
- (void)clear
{
    // Volatile keyword disables compiler's optimization
    volatile unsigned char *t = (unsigned char *)_buff;
    int len = _length;
    while (len--) {
        *t++ = 0;
    }
}

// In case you forget to clear, it will cleared on dealloc
- (void)dealloc
{
    [self clear];
    free(_buff);
}