Dati sensibili memorizzati nel file cache.db-wal?

Question

Sono di fronte a un problema in un'applicazione iOS che utilizza UIWebView per il rendering di codice HTML5 che fa parte del pacchetto di applicazioni.

Questo codice HTML5 consente ajax di richiedere al nostro back-end che potrebbe contenere dati sensibili. Questo è tutto fatto su HTTPS e la nostra applicazione non memorizza mai i dati sensibili. Tuttavia, durante i test di sicurezza per l'applicazione, abbiamo rilevato che le richieste HTTP venivano archiviate in un database SQL Lite locale (cache.db) a partire da iOS 5.

È stato facile gestirlo impostando NSURLCache oggetto globale per avere zero storage su disco ed eliminare il file quando appropriato.

Ora, tuttavia, in iOS 6.1 Apple ha cambiato di nuovo l'implementazione e i dati vengono archiviati in cache.db-wal. Ho una conoscenza limitata di SQL Lite, ma penso che questo sia un file creato quando SQL Lite è inizializzato con determinate opzioni.

Qualche suggerimento per una correzione?

Answer 1

Dopo ulteriori ricerche, sembra che il suggerimento di Hot Licks sopra fosse corretto, aggiungendo il valore "no-cache, no-store" alla risposta HTTP, la richiesta HTTP valori non registrati nel database SQLite.

Per esempio, in ASP.Net MVC:

public ActionResult PostSensitiveData(string data) 
{ 
    Response.Cache.SetCacheability(HttpCacheability.NoCache); 
    Response.Cache.SetNoStore(); 

    return Json(data); 
} 

Answer 2

Gli altri file creati da SQLite (-journal, -wal, -shm) fanno parte del database stesso.

Quando si elimina il file cache.db, eliminare anche eventuali file cache.db-*.

---

Per evitare che i dati viene inserito, in primo luogo, aprire il database e creare un po 'di innesco come questo su ogni tavolo:

CREATE TRIGGER MyTable_evil_trigger 
BEFORE INSERT ON MyTable 
BEGIN 
    SELECT RAISE(IGNORE); 
END; 

(E poi verificare se l'UIWebView fa saltare in aria quando l'inserimento record in realtà non vengono visualizzati ...)

Answer 3

È possibile chiamare

[[NSURLCache sharedURLCache] removeAllCachedResponses] 

Questo cancellerà tutte le chiamate URL memorizzati nella cache dal file cache.db.