Как мы закрыли FCM-токены в PDP Mobile

Недавно у всех на слуху утечки и supply-chain атаки, так что мы решили не оставлять FCM-токены “как есть”. В PDP Mobile внедрили симметричное шифрование токенов перед сохранением в БД.

Зачем это вообще? Если базу вдруг скомпрометируют, злоумышленник не сможет устроить массовую push-рассылку жильцам ЖК. А это уже не просто баг, а очень неприятный сценарий из серии “почему мне ночью пришло 500 уведомлений”.

Чтобы защита была не на словах, а по фулл-стеку, мы собрали цепочку безопасности: FCM token → шифрование → БД

На устройстве тоже всё ок: используем шифрованное хранилище MMKV плюс Secure Keychain/Keystore для безопасной работы с ключами.

Итог: даже если где-то “протечёт”, данные не превращаются в готовый инструмент для атаки. Безопасность — это уже не nice-to-have, а база.