アプリの認証トークンをオフラインでも安全に保護したいですか？ 知っておきたいポイントは次のとおりです：
- トークンを暗号化: iOS KeychainまたはAndroid KeystoreでAES-256暗号化を使用します。
- アクセスを制御： 生体認証 でセキュリティを強化します。
- トークン管理: 有効期限の短いトークンを使用し、安全にリフレッシュして、キーを定期的にローテーションしてください。
- おすすめのツール: 以下を試してください： @capacitor-community/secure-storage または Ionic Identity Vault （クロスプラットフォーム対応の暗号化ストレージ）
これらの手順により、ユーザーデータを保護し、トークンの盗難を防ぎ、安全なオフラインアクセスを実現します。詳細な比較とセットアップ手順については、以下を読み進めてください。
Ionic Identity Vault：モバイル生体認証のセキュリティ
オフライントークンのセキュリティ基準
安全なストレージを確保するには、 AES-256 暗号化 iOS Keychain または Android Keystore を通じて。実装 PKCE 初期の OAuth2 code 交換時に、各使用後に短期間のリフレッシュトークンをローテーションすることを確認してください。さらに、 生体認証 を追加して、トークンアクセスを保護し、全体のセキュリティを強化します。
Secure Storageの実装
前述のAES-256暗号化、PKCE、生体認証コントロールを利用するには、まずSecure Storageプラグインをインストールしてください：
npm install @capacitor-community/secure-storage暗号化キーの設定方法、 生体認証の有効化、およびオフライントークンの保存・取得・リフレッシュプロセスの管理については、プラグインのドキュメントを確認してください。
セットアップが完了したら、次のセクションで説明する、トークンの保存方法とオフラインでのライフサイクル管理メソッドの定義に進みます。
ストレージソリューションの分析
Capacitor アプリケーションでオフライントークンのセキュアストレージを選択する際、開発者は以下の要素を検討する必要があります： 暗号化方式、プラットフォーム間の互換性、および統合の容易さ。以下に、オフライントークン管理に役立つ主要なセキュアストレージプラグインの比較をまとめました。
プラグイン機能比較
- @capacitor-community/secure-storage: iOS KeychainとAndroid Keystoreを使用したAES-256暗号化を提供し、以下をサポート： 生体認証によるロック解除、自動キーローテーションも含みます。
- @ionic/storage: 組み込みの暗号化はなく、セキュリティのためには手動のラッパーが必要で、生体認証機能も備えていません。
- ネイティブ SecureStorage: iOS Keychainのみで動作し、Androidはサポートしていません。
- @ionic-enterprise/identity-vault: ハードウェアレベルの暗号化を提供し、生体認証をサポートし、セキュアなトークンのライフサイクルを効果的に管理します。
まとめ
オフラインでのトークン保存における主要なプラクティスとツールを簡単に紹介します：
- トークンを暗号化 ハードウェアバックドのキーストアを使用し、 生体認証で保護.
- トークンの発行、期限、ローテーション、リフレッシュに対して厳格なポリシーを実装します。
クロスプラットフォーム暗号化には、 @capacitor-community/secure-storage と Ionic Identity Vault 優れた選択肢です。さらに、 Capgo はエンドツーエンド暗号化、CI/CD統合、ユーザー対象のロールアウトを提供し、AppleおよびAndroidストアの要件を満たします。
ツールとリソース
- @capacitor-community/secure-storage：iOSおよびAndroid向けの暗号化されたキーバリューストレージ。
- Ionic Identity Vault：生体認証セキュリティを備えたエンタープライズレベルのストレージ。
- Capgo：暗号化されたCI/CD配信によるライブアップデートを提供します。
Capacitor の「オフライン トークン用セキュア ストレージ」の続きを読む
使用している場合 Capacitorにおけるオフライン用トークンのセキュアストレージ セキュリティとコンプライアンスを計画するには、これを以下と連携させてください 暗号化 暗号化の実装詳細について コンプライアンス コンプライアンスの実装詳細について Capgo セキュリティスキャナー Capgo Security Scanner のプロダクトワークフローについて Capgo のセキュリティ Capgo Security のプロダクトワークフロー向け、および Capgo トラストセンター Capgo Trust Center のプロダクトワークフロー向け。
