Schützen von Schlüsseln in alternativen Startmodi
Datensicherheit ist darauf ausgelegt, ausschließlich autorisierten Benutzern Zugriff auf Benutzerdaten zu geben – und zwar ausschließlich nach der erfolgreichen Authentifizierung. Datensicherheitsklassen sind konzipiert, eine Vielfalt von Anwendungsfällen zu unterstützen, z. B. die Möglichkeit, manche Daten auch dann zu lesen und zu schreiben, wenn ein Gerät gesperrt ist (jedoch nach der ersten Entsperrung). Darüber hinaus werden weitere Schritte unternommen, um Benutzerdaten bei alternativen Startmodi zu schützen – z. B. Startmodi, die für den DFU-Modus (Device Firmware Update), den Wiederherstellungsmodus, Apple-Diagnose oder sogar die Softwareaktualisierung verwendet werden. Diese Funktionen basieren auf einer Kombination aus Hardware- und Softwarefunktionen und wurden im Rahmen der Weiterentwicklung von Apple Chips fortlaufend erweitert.
Funktion | A10 | A11–A17 S3–S9 M1, M2, M3 |
Wiederherstellung: Datenschutz bei allen Datensicherheitsklassen |
|
|
Alternative Startmodi des DFU-Modus, Wiederherstellung und Softwareaktualisierungen: Datenschutz bei Klassen A, B und C |
|
|
Die AES-Engine der Secure Enclave ist mit sperrbaren Software-Seed-Bits ausgestattet. Werden Schlüssel von der UID erstellt, werden diese Seed-Bits in die KDF (Key Derivation Function) integriert, um zusätzliche Schlüsselhierarchien zu erzeugen. Wie genau das Seed-Bit verwendet wird, hängt vom jeweiligen System on Chip ab:
Beginnend mit Apple A10- und S3-SoCs wird ein Seed-Bit dafür reserviert, vom Code des Benutzers geschützte Schlüssel zu unterscheiden. Das Seed-Bit wird für Schlüssel gesetzt, die den Code des Benutzers erfordern (einschließlich Datensicherheitsschlüssel der Klassen A, B und C), und für Schlüssel gelöscht, die keinen Benutzercode erfordern (einschließlich der Metaschlüssel des Dateisystems und der Schlüssel der Klasse D).
Darüber hinaus werden auf Geräten mit iOS 13 (oder neuer) und iPadOS 13.1 (oder neuer) und mit A10 (oder neuer) alle Benutzerdaten mit kryptografischen Mitteln unzugänglich gemacht, wenn die Geräte im Diagnosemodus gebootet oder gestartet werden. Erreicht wird dies durch die Einführung eines zusätzlichen Seed-Bits, dessen Einstellung über die Fähigkeit bestimmt, auf den Medienschlüssel zuzugreifen, der wiederum benötigt wird, um auf die Metadaten (und somit auf den Inhalt aller Dateien) auf dem per Datensicherheit geschützten Datenvolume zuzugreifen. Dieser Schutz erstreckt sich auf Dateien in allen Klassen (A, B, C und D), nicht nur auf Dateien, für die der Code des Benutzers erforderlich ist.
Bei A12-SoCs sperrt der Boot-ROM der Secure Enclave das Code-Seed-Bit, wenn der Anwendungsprozessor in den Device Firmware Upgrade (DFU)-Modus oder den Wiederherstellungsmodus wechselt. Wenn das Code-Seed-Bit gesperrt ist, wird kein Vorgang zugelassen, durch den es geändert werden könnte. Auf diese Weise wird der Zugriff auf Daten verhindert, die durch den Code des Benutzers geschützt werden.
Die Wiederherstellung eines Geräts, das in den DFU-Modus wechselt, führt zurück zu einem bekannten sicheren Zustand und gibt die Gewissheit, dass ausschließlich unveränderter und von Apple signierter Code vorhanden ist. Der DFU-Modus kann manuell aufgerufen werden.
Weitere Informationen dazu, wie ein Gerät in den DFU-Modus versetzt werden kann, enthalten die folgenden Apple-Support-Artikel:
Gerät | Artikel |
|---|---|
iPhone, iPad | |
Apple TV | |
Mac mit Apple Chips |