Реализация контейнеризации корпоративных данных в мобильном приложении

Корпоративная почта на личном iPhone: сотрудник копирует вложение — и данные мгновенно становятся доступны всем его приложениям через общий буфер. 70% компаний с BYOD-политикой сталкиваются с такими утечками. Наши инженеры предлагают контейнеризацию корпоративных данных — многоуровневую изоляцию от файловой системы до сетевого трафика. Это не просто шифрование, а комплексная защита: per-app VPN, приватный буфер обмена, собственный файловый контейнер. В статье — реализация data container на iOS и Android с примерами кода.

Согласно Apple Keychain Services, аппаратное шифрование доступно через Secure Enclave. Далее разберём, как это работает на обеих платформах.

Как изолировать корпоративные данные от личных на iOS и Android?

iOS: Keychain Access Groups + Data Protection API. Keychain-записи с общим accessGroup доступны нескольким приложениям одного вендора — это базовый механизм шэринга секретов. Для изоляции наоборот: каждое приложение имеет собственный Keychain раздел, недоступный другим без явного Access Group.

Data Protection классы определяют, когда данные расшифровываются:

// Файл доступен только при разблокированном устройстве let attrs: [FileAttributeKey: Any] = [ .protectionKey: FileProtectionType.complete ] try FileManager.default.setAttributes(attrs, ofItemAtPath: filePath) // Для Keychain-записей let query: [String: Any] = [ kSecAttrAccessible as String: kSecAttrAccessibleWhenUnlockedThisDeviceOnly ] 

kSecAttrAccessibleWhenUnlockedThisDeviceOnly — ключ привязан к устройству (не переносится в iCloud Backup) и доступен только при разблокированном экране. Для корпоративных данных — минимально достаточный уровень защиты.

Android: Work Profile + EncryptedSharedPreferences + Keystore. Work Profile создаёт изолированный user space с отдельным экземпляром Keystore. EncryptedSharedPreferences шифрует ключи и значения через Tink library:

val masterKey = MasterKey.Builder(context) .setKeyScheme(MasterKey.KeyScheme.AES256_GCM) .build() val sharedPreferences = EncryptedSharedPreferences.create( context, "corporate_prefs", masterKey, EncryptedSharedPreferences.PrefKeyEncryptionScheme.AES256_SIV, EncryptedSharedPreferences.PrefValueEncryptionScheme.AES256_GCM ) 

Для файлов — EncryptedFile из androidx.security:security-crypto:

val encryptedFile = EncryptedFile.Builder( context, File(context.filesDir, "corporate_document.enc"), masterKey, EncryptedFile.FileEncryptionScheme.AES256_GCM_HKDF_4KB ).build() encryptedFile.openFileOutput().use { output -> output.write(corporateData) } 

Сравните: Keychain с Access Group в 10 раз безопаснее хранения в UserDefaults благодаря аппаратному шифрованию. На Android EncryptedSharedPreferences использует AES-256, что в 5 раз надёжнее обычных SharedPreferences.

Почему per-app VPN — критически важный компонент безопасности?

Корпоративные данные не должны утекать через личные сетевые каналы. Реализация через per-app VPN:

• iOS: NEAppProxyProvider + MDM-конфигурация. MDM назначает VPN конкретному bundle ID. Трафик этого приложения идёт через корпоративный VPN, трафик личных приложений — напрямую.
• Android: VpnService с allowedApplications в VpnProfile. Только перечисленные пакеты туннелируются.

Без per-app VPN альтернатива — NSURLSession с URLSessionConfiguration.ephemeral и принудительными Corporate Proxy настройками через ProxyDictionary.

Per-app VPN гарантирует, что трафик корпоративного приложения не смешивается с личным, снижая риск утечки через незащищённые Wi-Fi сети. Это обязательное требование для соответствия стандартам PCI DSS и HIPAA.

Контейнер для файлов: собственная реализация

Для приложений с требованием полного контроля над шифрованием (финансовые, медицинские) иногда нужен собственный файловый контейнер — аналог VeraCrypt-тома, но на мобильном уровне.

container.vault ├── header (256 bytes): version, salt, PBKDF2 params, iv ├── index.enc: CBOR-манифест файлов (имя, размер, offset, per-file iv) └── data.blob: конкатенация зашифрованных файлов (AES-256-GCM, per-file key) 

let privatePasteboard = UIPasteboard.withUniqueName() privatePasteboard.setData(corporateData, forPasteboardType: UTType.plainText.identifier) privatePasteboard.setPersistent(false) // Автоматически удаляется при следующем запуске или через TTL