如何在iOS Keychain中创建不可导出的RSA私钥

完全可以实现，核心是利用iOS Security框架的密钥属性配置，让系统从底层阻止私钥的导出操作，具体方案如下：

实现步骤 #

• 使用SecKeyCreateRandomKey API生成RSA私钥，在属性字典中明确设置不可导出标记
• 配合设备绑定的访问权限，进一步限制密钥的使用范围

关键属性配置 #

必须设置以下两个核心属性：

1. kSecAttrIsExtractable = false：这是阻止导出的核心开关，一旦设置为false，任何API都无法获取私钥的原始数据（包括应用自身代码）
2. kSecAttrAccessible = kSecAttrAccessibleWhenUnlockedThisDeviceOnly：确保密钥仅在设备解锁时可用，且不会被备份到iCloud，绑定当前设备

Swift 代码示例 #

import Security

func generateNonExportableRSAKey() -> SecKey? {
    let keyAttributes: [CFString: Any] = [
        kSecAttrKeyType: kSecAttrKeyTypeRSA,
        kSecAttrKeySizeInBits: 2048, // 建议用4096增强安全性
        kSecAttrIsExtractable: false,
        kSecAttrAccessible: kSecAttrAccessibleWhenUnlockedThisDeviceOnly,
        kSecAttrLabel: "LockedRSAKey" as CFString // 自定义密钥标识
    ]
    
    var error: Unmanaged<CFError>?
    guard let privateKey = SecKeyCreateRandomKey(keyAttributes as CFDictionary, &error) else {
        print("密钥生成失败: \(error?.takeRetainedValue() ?? "未知错误")")
        return nil
    }
    return privateKey
}

效果说明 #

• 应用自身无法通过SecItemCopyMatching或其他API导出私钥的原始数据，只能通过SecKey提供的签名、解密等API间接使用
• 即使应用被逆向破解，攻击者也无法提取私钥，因为iOS Keychain会在系统层面拦截导出请求
• 密钥无法通过iCloud备份迁移到其他设备，进一步降低泄露风险

注意事项 #

• 不可导出属性一旦设置无法修改，创建密钥时务必确认配置正确
• 密钥的所有操作必须通过Security框架的API完成，不能直接获取私钥的PEM/DER格式数据

内容的提问来源于stack exchange，提问作者Hamed Mousaei