Protección de claves en modos de arranque alternativos
Protección de datos está diseñada para proporcionar acceso a los datos de usuario solo después de una autenticación correcta y únicamente al usuario autorizado. Las clases de protección de datos están diseñadas para respaldar diversos escenarios de uso, como la capacidad de leer y escribir algunos datos incluso si un dispositivo está bloqueado (pero después del primer desbloqueo). Durante los modos de arranque alternativos, se toman medidas adicionales para proteger el acceso a los datos de usuario, como las que se emplean en el modo de actualización del firmware del dispositivo (DFU), el modo de recuperación, Diagnóstico Apple o incluso durante las actualizaciones de software. Estas funciones se basan en una combinación de características de hardware y software y se han ido ampliando a medida que los chips diseñados por Apple han evolucionado.
Función | A10 | A11–A17 S3–S9 M1, M2, M3 |
Recuperación: todas las clases de Protección de datos |
|
|
Arranques alternativos del modo DFU, recuperación y las actualizaciones de software: Protección de datos de clase A, B y C |
|
|
El motor AES de Secure Enclave está equipado con bits semilla de software que se pueden bloquear. Cuando se crean claves a partir del UID, estos bits semilla se incluyen en la función de derivación de claves para crear jerarquías de claves adicionales. Cómo varía el bit semilla usado según el sistema en un chip:
A partir de los SoC A10 y S3 de Apple, un bit semilla se dedica a distinguir claves protegidas por el código del usuario. El bit semilla se establece para claves que requieren el código del usuario (incluidas las claves de clase A, clase B y clase C de Protección de datos) y se borra para claves que no requieren el código del usuario (como la clave de metadatos del sistema de archivos y las claves de clase D).
En iOS 13 o posterior y iPadOS 13.1 o posterior, en dispositivos con un SoC A10 o posterior, se deja de poder acceder a todos los datos del usuario encriptados cuando los dispositivos se arrancan en el modo de diagnóstico. Esto se consigue introduciendo un bit semilla adicional cuyos ajustes rigen la capacidad de acceder a la clave de contenido, que a su vez es necesaria para acceder a los metadatos (y, por tanto, al contenido de todos los archivos) del volumen de datos encriptado con Protección de datos. Esta protección incluye los archivos protegidos en todas las clases (A, B, C y D), no solo aquellas que requieren el código del usuario.
En los SoC A12, la ROM de arranque de Secure Enclave bloquea el bit semilla del código si el procesador de aplicaciones entra en modo de actualización del firmware del dispositivo (DFU) o modo de recuperación:. Cuando el bit semilla del código se bloquea, no se permite ninguna operación de cambio. Esto está así diseñado para impedir el acceso a los datos protegidos con el código del usuario.
Restaurar un dispositivo una vez que entra en modo DFU hace que vuelva a un estado anterior en buenas condiciones con la certeza de que solo hay código firmado por Apple no modificado. Se puede entrar en modo DFU manualmente.
Consulta los siguientes artículos de soporte técnico de Apple sobre cómo hacer que un dispositivo entre en modo DFU.
Dispositivo | Artículo del servicio de soporte de Apple: |
|---|---|
iPhone, iPad | |
Apple TV | |
Mac con chip de Apple |