Keychain — ключови понятия, архитектура и как работи

Какво е Keychain?

Keychain — е защитена база данни на операционната система на Apple, предназначена за безопасно съхранение на пароли, криптографски ключове, сертификати и други поверителни данни. Keychain се появи за първи път в Mac OS 8.6 през 1999 г., а в iOS — от първата версия на SDK.

Определение и предназначение

Keychain решава основен проблем на мобилната разработка: съхранението на тайни (токени, пароли, ключове за криптиране) в незащитена файлова система. За разлика от UserDefaults или SQLite, данните в Keychain се съхраняват в криптирана форма и автоматично се криптират при запис на диска.

Всяко iOS приложение работи в изолирана пясъчна кутия и има достъп само до своя keychain. Разработчикът обаче може да конфигурира споделен достъп до Keychain между приложения на един и същ разработчик чрез keychain access groups. Потребителят на iCloud Keychain допълнително синхронизира данни между устройства чрез end-to-end криптиране.

Според Apple Security White Paper (2025), Keychain използва хардуерно криптиране AES-256 с ключ, свързан с уникалния идентификатор на устройството (UID), което прави данните недостъпни при извличане от устройството.

Как работи Keychain в iOS?

Keychain функционира като услуга на нива: приложението се обръща към Security framework, който взаимодейства с демона securityd, управляващ криптираната SQLite база данни на Keychain. Всеки запис се криптира с отделен ключ, а самите ключове са защитени от хардуерния модул Secure Enclave на устройства с чип A7 и по-нови.

Архитектура на Security framework

Security framework предоставя C интерфейс за работа с Keychain Services. Основни функции: SecItemAdd (добавяне), SecItemCopyMatching (търсене), SecItemUpdate (актуализиране) и SecItemDelete (изтриване). Всяка операция приема речник от атрибути CFDictionaryRef, описващ типа на заявката.

Данните се класифицират според класове: kSecClassGenericPassword (произволна парола), kSecClassInternetPassword (парола за интернет услуга), kSecClassCertificate (сертификат), kSecClassKey (криптографски ключ) и kSecClassIdentity (комбинация от ключ и сертификат).

Процес на съхранение на данни

При запазване на парола, приложението създава речник с атрибути: услуга, акаунт, ниво на достъп, етикет. Security framework предава данните на демона securityd, който криптира записа с ключ, свързан с устройството, и го записва в Keychain SQLite. Извличането става аналогично: заявка по атрибути, търсене, декриптиране и връщане на данни.

Важна характеристика: при изтриване на приложението, iOS автоматично изчиства Keychain от записите, създадени от това приложение (от iOS 10.3+). При преинсталиране на приложението, Keychain данните от предишната инсталация са недостъпни, освен ако не е използван iCloud Keychain.

import Security

func savePassword(service: String, account: String, password: Data) {
    let query: [String: Any] = [
        kSecClass as String: kSecClassGenericPassword,
        kSecAttrService as String: service,
        kSecAttrAccount as String: account,
        kSecValueData as String: password,
        kSecAttrAccessible as String: kSecAttrAccessibleWhenUnlocked
    ]
    SecItemAdd(query as CFDictionary, nil)
}

Типове данни в Keychain

Keychain поддържа пет основни класа данни, всеки със свой набор от атрибути и област на приложение. От избора на клас зависи кои ключове за търсене са налични и как данните се криптират.

Пароли и акаунти

Класовете kSecClassGenericPassword и kSecClassInternetPassword са предназначени за съхранение на текстови пароли. Интернет версията допълнително съхранява данни за сървъра: домейн, протокол, порт и път за удостоверяване. GenericPassword се използва за съхранение на произволни пароли без обвързване със сървър.

При запазване на интернет парола могат да се посочат kSecAttrServer (домейн), kSecAttrProtocol (HTTPS, FTP и т.н.), kSecAttrPort и kSecAttrPath. Това позволява точно идентифициране на записа при автоматично попълване чрез AutoFill.

Криптографски ключове и сертификати

Класът kSecClassKey съхранява симетрични (AES) и асиметрични (RSA, EC) ключове. Класът kSecClassCertificate — X.509 сертификати. Класът kSecClassIdentity обединява частния ключ и съответния сертификат в един запис.

За асиметрични ключове Keychain поддържа атрибути: kSecAttrKeyType (RSA, EC), kSecAttrKeySizeInBits (2048, 256), kSecAttrIsPermanent (дали да се запази в Keychain). За сертификати: kSecAttrLabel (четимо от човека име), kSecAttrSubject (DN на собственика), kSecAttrIssuer (DN на издателя).

Работа с Keychain чрез API

Основният интерфейс за взаимодействие с Keychain в родния iOS код — функциите на Security framework. За Swift и Objective-C е наличен един C интерфейс, опакован в удобни функции.

Основни операции SecItemAdd и SecItemCopyMatching

Функцията SecItemAdd добавя нов елемент в Keychain. На входа приема речник с клас, данни и атрибути. Връща статус errSecSuccess (0) или код за грешка. Функцията SecItemCopyMatching извършва търсене по атрибути и връща намерените данни.

За търсене се използва флагът kSecReturnData — ако е true, функцията връща съдържанието на записа. Флагът kSecMatchLimit определя броя на резултатите: kSecMatchLimitOne (един) или kSecMatchLimitAll (всички).

func readPassword(service: String, account: String) -> Data? {
    let query: [String: Any] = [
        kSecClass as String: kSecClassGenericPassword,
        kSecAttrService as String: service,
        kSecAttrAccount as String: account,
        kSecReturnData as String: true,
        kSecMatchLimit as String: kSecMatchLimitOne
    ]
    var item: CFTypeRef?
    let status = SecItemCopyMatching(query as CFDictionary, &item)
    guard status == errSecSuccess else { return nil }
    return item as? Data
}

Изтриване и актуализиране на записи

SecItemUpdate позволява промяна на атрибутите или данните на съществуващ запис. SecItemDelete изтрива всички записи, съответстващи на подадения речник. При изтриване е важно да се посочат достатъчно атрибути, за да не се изтрият случайно чужди записи в shared keychain.

func deletePassword(service: String, account: String) {
    let query: [String: Any] = [
        kSecClass as String: kSecClassGenericPassword,
        kSecAttrService as String: service,
        kSecAttrAccount as String: account
    ]
    SecItemDelete(query as CFDictionary)
}

Нива на достъп и защита на данните

Всеки Keychain запис има атрибут kSecAttrAccessible, който определя кога данните са достъпни за четене. Това е критично за сигурността: грешно ниво на достъп може да направи данните уязвими или, обратно, недостъпни в точния момент.

Константи на достъпност

kSecAttrAccessibleWhenUnlocked — данните са достъпни само когато устройството е отключено. kSecAttrAccessibleAfterFirstUnlock — достъпни след първото отключване след рестарт. kSecAttrAccessibleAlways — винаги достъпни (не се препоръчва). Наставката ThisDeviceOnly забранява прехвърлянето на данни чрез резервно копие.

На устройства с Secure Enclave ключът за криптиране на Keychain може допълнително да бъде защитен с биометрия: kSecAccessControlBiometryCurrentSet или kSecAccessControlUserPresence. Това добавя изискване за Face ID или Touch ID за всяка операция за четене.

iCloud Keychain и синхронизация

iCloud Keychain синхронизира записи между Apple устройства чрез end-to-end криптиране. Apple няма достъп до декриптираните данни. За активиране на синхронизацията, добавете атрибута kSecAttrSynchronizable със стойност kCFBooleanTrue.

Важно: синхронизираните записи не могат да съдържат атрибута ThisDeviceOnly, тъй като трябва да бъдат достъпни на други устройства. При загуба на всички устройства, iCloud Keychain се възстановява чрез код за възстановяване или резервен ключ на iCloud.

Best Practices за избор на ниво на достъп

За токени за удостоверяване използвайте kSecAttrAccessibleWhenUnlockedThisDeviceOnly — данните са достъпни само на отключено устройство и не се копират в резервно копие. За сертификати, които трябва да бъдат достъпни за фонови задачи, използвайте kSecAttrAccessibleAfterFirstUnlock. Никога не използвайте kSecAttrAccessibleAlways за поверителни данни.

Препоръчва се винаги да добавяте наставката ThisDeviceOnly за данни, които не изискват синхронизация. Това предотвратява случайно копиране на тайни в iCloud или iTunes резервно копие, откъдето могат да бъдат извлечени с инструменти за анализ. За критични данни комбинирайте достъпността с kSecAccessControlUserPresence — това добавя изискване за биометрия или код за декриптиране на записа.

При използване на iCloud Keychain имайте предвид, че синхронизираните записи са достъпни на всички устройства на потребителя: ако нападател получи достъп до едно устройство, данните могат да бъдат компрометирани на всички. За изолирани тайни използвайте ThisDeviceOnly.