Avainten suojaaminen vaihtoehtoisissa käynnistystiloissa
Tietojen suojaus on suunniteltu tarjoamaan pääsy käyttäjän tietoihin vasta onnistuneen tunnistautumisen jälkeen ja vain valtuutetulle käyttäjälle. Tietojen suojausluokat on suunniteltu tukemaan erilaisia käyttötarkoituksia, kuten mahdollisuutta lukea ja kirjoittaa joitakin tietoja silloinkin, kun laite on lukittuna (mutta kun sen lukitus on kerran avattu). Vaihtoehtoisissa käynnistystiloissa käyttäjätietoihin pääsylle tehdään lisäsuojauksia, kuten sellaisia, joita käytetään DFU-tilassa, palautustilassa, Apple-vianmäärityksessä tai jopa ohjelmistopäivityksen aikana. Nämä ominaisuudet perustuvat yhdistelmään laitteiston ja ohjelmiston ominaisuuksia, ja niitä on laajennettu Applen suunnitteleman sirun kehittymisen myötä.
Ominaisuus | A10 | A11–A17 S3–S9 M1, M2, M3 |
Palautus: Kaikki tietojen suojausluokat suojataan |
|
|
Vaihtoehtoiset DFU-tilan käynnistykset, Palautus ja ohjelmistopäivitykset: Luokan A, B ja C tietojen suojaus |
|
|
Secure Enclaven AES-komponentissa on lukittavia ohjelmiston siemenbittejä. Kun avaimia luodaan UID:stä, nämä siemenbitit sisällytetään avaimen johtamisfunktioon avainten lisähierarkioiden luomiseksi. Siemenbitin käyttötapa vaihtelee järjestelmäpiiristä riippuen:
Applen A10- ja S3-järjestelmäpiireistä alkaen siemenbitti on tarkoitettu käyttäjän pääsykoodilla suojattujen avainten erottamiseen. Siemenbitti asetetaan avaimille, jotka vaativat käyttäjän pääsykoodin (mukaan lukien tietojen suojausluokkien A, B ja C avaimet), ja poistetaan avaimilta, jotka eivät vaadi käyttäjän pääsykoodia (mukaan lukien tiedostojärjestelmän metatietojen avain ja luokan D avaimet).
iOS 13:ssa ja uudemmissa ja iPadOS 13.1:ssä tai uudemmissa, joiden laitteissa on A10 tai uudempi, pääsy käyttäjän tietoihin estetään kryptografisesti, kun laitteet käynnistetään vianmääritystilaan. Tämä saavutetaan lisäämällä siemenbitti, jonka asetus hallitsee mahdollisuutta käyttää tallennuslaiteavainta, jota itsessään tarvitaan kaikkien tietojen suojauksella salatun taltion metatietojen (ja sen vuoksi kaiken tiedostojen sisällön) käyttämiseen. Tämä suojaus sisältää kaikissa luokissa (A, B, C ja D) suojatut tiedostot, eikä vain ne, jotka vaativat käyttäjän salasanan.
A12-järjestelmäpiireissä Secure Enclaven Boot ROM lukitsee pääsykoodin siemenbitin, jos appeja suorittava prosessori on siirtynyt DFU-tilaan (Device Firmware Upgrade) tai Palautustilaen. Kun pääsykoodin siemenbitti on lukittu, mitään toimintoja sen muuttamiseksi ei sallita. Tämä on suunniteltu estämään käyttäjän pääsykoodilla suojattujen tietojen käyttöä.
Laitteen palauttaminen sen jälkeen, kun se on siirtynyt DFU-tilaan, palauttaa sen hyväksi tunnettuun tilaan, jolloin voidaan olla varmoja, että siinä on vain muokkaamatonta Applen allekirjoittamaa koodia. DFU-tilaan voidaan siirtyä käsin.
Lue seuraava Applen tukiartikkeli siitä, kuinka laite asetetaan DFU-tilaan:
Laite | Applen tukiartikkeli |
|---|---|
iPhone, iPad | |
Apple TV | |
Apple siliconilla varustettu Mac |