Secure Enclave

Tinjauan

Secure Enclave adalah subsistem aman terdedikasi yang terintegrasi ke sistem pada keping (SoC) Apple. Secure Enclave terisolasi dari prosesor utama untuk menyediakan lapisan keamanan tambahan dan dirancang untuk terus menjaga data pengguna yang sensitif bahkan saat kernel Prosesor Aplikasi diretas. Secure Enclave mengikuti prinsip rancangan yang sama dengan SoC—ROM boot untuk membuat dasar kepercayaan perangkat keras, mesin AES untuk operasi kriptografis yang efisien dan aman, serta memori yang dilindungi. Meskipun tidak disertai dengan penyimpanan, Secure Enclave memiliki mekanisme untuk menyimpan informasi secara aman di penyimpanan terpasang yang terpisah dari penyimpanan kilat NAND yang digunakan oleh Prosesor Aplikasi dan sistem operasi.

Secure Enclave adalah fitur perangkat keras dari sebagian besar versi iPhone, iPad, Mac, Apple TV, Apple Watch, dan HomePod—yaitu:

• iPhone 5s atau lebih baru

• iPad Air atau lebih baru

• Komputer Mac dengan Apple silicon

• Komputer MacBook Pro dengan Touch Bar (2016 dan 2017) yang berisi Keping T1 Apple

• Komputer Mac berbasis Intel yang berisi Keping Keamanan T2 Apple

• Apple TV HD atau lebih baru

• Apple Watch Series 1 atau lebih baru

• HomePod dan HomePod mini

Prosesor Secure Enclave

Prosesor Secure Enclave menyediakan daya komputasi utama untuk Secure Enclave. Untuk menyediakan isolasi terkuat, Prosesor Secure Enclave hanya didedikasikan untuk penggunaan Secure Enclave. Ini membantu untuk mencegah serangan saluran samping yang bergantung pada perangkat lunak jahat yang berbagi inti eksekusi yang sama dengan perangkat lunak target yang diserang.

Prosesor Secure Enclave menjalankan versi mikrokernel L4 khusus Apple. Prosesor Secure Enclave dirancang untuk beroperasi secara efisien pada kecepatan clock yang lebih rendah, yang membantu untuk melindunginya terhadap serangan clock dan daya. Prosesor Secure Enclave, dimulai dengan A11 dan S4, disertai dengan mesin perlindungan memori dan memori yang dienkripsi dengan kemampuan anti-pemutaran ulang, boot aman, pembuat nomor acak khusus, dan mesin AES-nya sendiri.

Mesin Perlindungan Memori

Secure Enclave beroperasi dari area memori DRAM perangkat yang terdedikasi. Beberapa lapisan perlindungan mengisolasi memori yang dilindungi Secure Enclave dari Prosesor Aplikasi.

Saat perangkat dimulai, ROM Boot Secure Enclave membuat kunci perlindungan memori sementara acak untuk Mesin Perlindungan Memori. Kapan pun Secure Enclave menulisi area memori terdedikasinya, Mesin Perlindungan Memori mengenkripsi blok memori menggunakan AES dalam mode XEX (xor-encrypt-xor) Mac, dan mengkalkulasikan tag pengesahan Kode Pengesahan Pesan Berbasis Cipher (CMAC) untuk memori. Mesin Perlindungan Memori menyimpan tag pengesahan bersamaan dengan memori yang dienkripsi. Saat Secure Enclave membaca memori, Mesin Perlindungan Memori memverifikasi tag pengesahan. Jika tag pengesahan sesuai, Mesin Perlindungan Memori mendekripsi blok memori. Jika tag tidak sesuai, Mesin Perlindungan Memori memberikan sinyal kesalahan ke Secure Enclave. Setelah kesalahan pengesahan memori, Secure Enclave berhenti menerima permintaan hingga sistem di-boot ulang.

Dimulai dengan SoC A11 dan S4 Apple, Mesin Perlindungan Memori menambahkan perlindungan pemutaran ulang untuk memori Secure Enclave. Untuk membantu mencegah pemutaran ulang data keamanan yang sangat penting, Mesin Perlindungan Memori menyimpan nomor unik sekali pakai yang disebut nilai anti-pemutaran ulang untuk blok memori bersamaan dengan tag pengesahan. Nilai anti-pemutaran ulang digunakan sebagai tweak tambahan untuk tag pengesahan CMAC. Nilai anti-pemutaran ulang untuk semua blok memori dilindungi menggunakan hierarki integritas yang berdasar di SRAM terdedikasi dalam Secure Enclave. Untuk penulisan, Mesin Perlindungan Memori memperbarui nilai anti-pemutaran ulang dan setiap level hierarki integritas hingga SRAM. Untuk pembacaan, Mesin Perlindungan Memori memverifikasi nilai anti-pemutaran ulang dan setiap level hierarki integritas hingga SRAM. Ketidaksesuaian nilai anti-pemutaran ulang ditangani secara serupa dengan ketidaksesuaian tag pengesahan.

Di A14, M1, atau SoC Apple lebih baru, Mesin Perlindungan Memori mendukung dua kunci perlindungan memori sementara. Kunci pertama digunakan untuk data khusus Secure Enclave, dan kunci kedua digunakan untuk data yang dibagikan dengan Neural Engine Aman.

Mesin Perlindungan Memori beroperasi sejajar dan secara transparan dengan Secure Enclave. Secure Enclave membaca dan menulisi memori layaknya DRAM reguler yang tidak dienkripsi, sedangkan pengamat di luar Secure Enclave hanya melihat versi memori yang dienkripsi dan disahkan. Hasilnya adalah perlindungan memori yang kuat tanpa mengorbankan kinerja dan kompleksitas perangkat lunak.

ROM Boot Secure Enclave

Secure Enclave disertai dengan ROM Boot Secure Enclave terdedikasi. Seperti ROM Boot Prosesor Aplikasi, ROM Boot Secure Enclave merupakan kode tetap yang membangun dasar kepercayaan pada perangkat keras untuk Secure Enclave.

Di proses mulai sistem, iBoot menetapkan area memori terdedikasi ke Secure Enclave. Sebelum menggunakan memori, ROM Boot Secure Enclave memulai Mesin Perlindungan Memori untuk menyediakan perlindungan kriptografis bagi memori yang dilindungi Secure Enclave.

Prosesor Aplikasi lalu mengirimkan image sepOS ke ROM Boot Secure Enclave. Setelah menyalin image sepOS ke memori yang dilindungi Secure Enclave, ROM Boot Secure Enclave memeriksa hash kriptografis dan tanda tangan image untuk memverifikasi bahwa sepOS telah disahkan untuk dijalankan di perangkat. Jika image sepOS ditandatangani dengan benar untuk dijalankan di perangkat, ROM Boot Secure Enclave akan mentransfer kontrol ke sepOS. Jika tanda tangan tidak sah, ROM Boot Secure Enclave dirancang untuk mencegah penggunaan Secure Enclave lebih lanjut hingga pengaturan ulang keping berikutnya.

Di A10 Apple dan SoC yang lebih baru, ROM Boot Secure Enclave mengunci hash sepOS ke register yang didedikasikan untuk tujuan ini. Akselerator Kunci Publik menggunakan hash ini untuk kunci yang terikat sistem operasi (terikat OS).

Monitor Boot Secure Enclave

Di A13 Apple dan SoC yang lebih baru, Secure Enclave menyertakan Monitor Boot yang dirancang untuk memastikan integritas yang lebih kuat di hash sepOS yang di-boot.

Di proses mulai sistem, konfigurasi Perlindungan Integritas Koprosesor Sistem (SCIP) Prosesor Secure Enclave membantu mencegah Prosesor Secure Enclave agar tidak mengeksekusi kode apa pun selain ROM Boot Secure Enclave. Monitor Boot membantu mencegah Secure Enclave agar tidak memodifikasi konfigurasi SCIP secara langsung. Untuk membuat sepOS yang dimuat menjadi dapat dieksekusi, ROM Boot Secure Enclave mengirimkan permintaan berisi alamat dan ukuran sepOS yang dimuat kepada Monitor Boot. Saat permintaan diterima, Monitor Boot mengatur ulang Prosesor Secure Enclave, membuat hash sepOS yang dimuat, memperbarui pengaturan SCIP untuk mengizinkan eksekusi sepOS yang dimuat, dan memulai eksekusi dalam kode yang baru dimuat. Saat sistem melanjutkan boot, proses yang sama digunakan kapan pun kode dibuat menjadi dapat dieksekusi. Setiap kali, Monitor Boot memperbarui hash proses boot yang berjalan. Monitor Boot juga menyertakan parameter keamanan kritis di hash yang berjalan.

Saat boot selesai, Monitor Boot menyelesaikan hash yang berjalan dan mengirimkannya ke Akselerator Kunci Publik agar dapat digunakan untuk kunci yang terikat OS. Proses ini dirancang agar pengikatan kunci sistem operasi tidak dapat dilewati bahkan dengan kerentanan di ROM Boot Secure Enclave.

Pembuat Angka Acak Sejati

Pembuat Angka Acak Sejati (TRNG) digunakan untuk membuat data acak yang aman. Secure Enclave menggunakan TRNG kapan pun Secure Enclave membuat kunci kriptografis acak, seeding kunci acak, atau entropi lainnya. TRNG didasarkan pada beberapa osilator cincin yang kemudian diproses dengan CTR_DRBG (algoritme berdasarkan cipher blok dalam Mode Penghitung).

Kunci Kriptografis Dasar

Secure Enclave menyertakan kunci kriptografis dasar ID unik (UID). UID unik bagi setiap perangkat terpisah dan tidak terkait ke pengenal lain di perangkat.

UID yang dibuat secara acak digabungkan ke dalam SoC pada saat produksi. Dimulai dari SoC A9, UID dibuat oleh TRNG Secure Enclave selama produksi dan ditulis ke gabungan menggunakan proses perangkat lunak yang dijalankan sepenuhnya di Secure Enclave. Proses ini melindungi UID agar tidak terlihat di luar perangkat selama produksi sehingga tidak tersedia untuk akses atau penyimpanan oleh Apple atau pemasoknya.

sepOS menggunakan UID untuk melindungi rahasia spesifik perangkat. UID memungkinkan data untuk dikaitkan secara kriptografis ke perangkat tertentu. Misalnya, hierarki kunci yang melindungi sistem file meliputi UID, sehingga jika penyimpanan SSD internal dipindahkan dari satu perangkat ke perangkat lain, file tidak akan dapat diakses. Rahasia khusus perangkat lainnya yang terlindungi meliputi data Face ID atau Touch ID. Di Mac, hanya penyimpanan yang internal sepenuhnya yang ditautkan ke mesin AES yang menerima level enkripsi ini. Misalnya, perangkat penyimpanan eksternal yang tersambung melalui USB maupun penyimpanan berbasis PCIe yang ditambahkan ke Mac Pro 2019 tidak dienkripsi dengan cara ini.

Secure Enclave juga memiliki ID grup (GID) perangkat, yang umum bagi semua perangkat yang menggunakan SoC tertentu (misalnya, semua perangkat yang menggunakan SoC A15 Apple berbagi GID yang sama).

UID dan GID tidak tersedia melalui Joint Test Action Group (JTAG) atau antarmuka debug lainnya.

Mesin AES Secure Enclave

Mesin AES Secure Enclave adalah blok perangkat keras yang digunakan untuk melakukan kriptografi simetris berdasarkan cipher AES. Mesin AES dirancang untuk menahan bocornya informasi dengan menggunakan waktu dan Analisis Daya Statis (SPA). Dimulai dengan SoC A9, Mesin AES juga menyertakan tindakan balasan Analisis Daya Dinamis (DPA).

Mesin AES mendukung kunci perangkat keras dan perangkat lunak. Kunci perangkat keras diturunkan dari UID atau GID Secure Enclave. Kunci ini tetap berada di Mesin AES dan tidak terlihat bahkan bagi perangkat lunak sepOS. Meskipun dapat meminta operasi enkripsi dan dekripsi dengan kunci perangkat keras, perangkat lunak tidak dapat mengekstrak kunci.

Di A10 Apple dan SoC yang lebih baru, Mesin AES menyertakan bit seeding yang dapat dikunci yang membedakan kunci yang diturunkan dari UID atau GID. Hal ini memungkinkan akses data agar dikondisikan di mode operasi perangkat. Misalnya, bit seeding yang dapat dikunci digunakan untuk menolak akses ke data yang dilindungi kata sandi saat melakukan boot dari mode Peningkatan Firmware Perangkat (DFU). Untuk informasi lainnya, lihat Kode sandi dan kata sandi.

Mesin AES

Setiap perangkat Apple dengan Secure Enclave juga memiliki mesin kripto AES256 khusus (“Mesin AES”) yang terdapat di jalur akses memori langsung (DMA) antara penyimpanan kilat NAND (nonvolatil) dan memori sistem utama, sehingga membuat enkripsi file menjadi sangat efisien. Di prosesor A9 atau seri A yang lebih baru, subsistem penyimpanan kilat berada di bus terisolasi yang hanya diberi akses ke memori yang berisi data pengguna melalui mesin kripto DMA.

Di waktu boot, sepOS membuat kunci pembungkusan sementara menggunakan TRNG. Secure Enclave mengirimkan kunci ini ke Mesin AES menggunakan kabel terdedikasi, yang dirancang untuk mencegahnya diakses oleh perangkat lunak di luar Secure Enclave. Kemudian, sepOS dapat menggunakan kunci pembungkusan sementara untuk membungkus kunci file agar dapat digunakan oleh driver sistem file Prosesor Aplikasi. Saat drive sistem file membaca atau menulisi file, driver mengirimkan kunci yang dibungkus ke Mesin AES, yang akan membuka kunci. Mesin AES tidak pernah mengekspos kunci yang tidak dibungkus ke perangkat lunak.

Akselerator Kunci Publik

Akselerator Kunci Publik (PKA) adalah blok perangkat keras yang digunakan untuk melakukan operasi kriptografi asimetris. PKA mendukung algoritme penandatanganan dan enkripsi RSA dan ECC (Kriptografi Kurva Eliptis). PKA dirancang untuk menahan bocornya informasi menggunakan waktu dan serangan saluran samping seperti SPA dan DPA.

PKA mendukung kunci perangkat lunak dan perangkat keras. Kunci perangkat keras diturunkan dari UID atau GID Secure Enclave. Kunci ini tetap berada di PKA dan tidak terlihat bahkan bagi perangkat lunak sepOS.

Dimulai dari SoC A13, implementasi enkripsi PKA telah teruji sebagai benar secara matematis menggunakan teknik verifikasi formal.

Di SoC A10 Apple dan lebih baru, PKA mendukung kunci terikat OS, yang juga disebut sebagai Perlindungan Kunci yang Disegel (SKP). Kunci ini dibuat menggunakan gabungan UID perangkat dan hash sepOS yang dijalankan di perangkat. Hash disediakan oleh ROM Boot Secure Enclave, atau oleh Monitor Boot Secure Enclave di A13 Apple atau SoC yang lebih baru. Kunci ini juga digunakan untuk memverifikasi versi sepOS saat membuat permintaan ke layanan Apple tertentu dan juga digunakan untuk meningkatkan keamanan data yang dilindungi kode sandi dengan membantu mencegah akses ke materi kunci jika perubahan penting dibuat ke sistem tanpa pengesahan pengguna.

Penyimpanan non-volatil aman

Secure Enclave dilengkapi dengan perangkat penyimpanan non-volatil aman terdedikasi. Penyimpanan non-volatil aman terhubung ke Secure Enclave menggunakan bus I2C terdedikasi, sehingga penyimpanan hanya dapat diakses oleh Secure Enclave. Semua kunci enkripsi data pengguna berakar di entropi yang disimpan di penyimpanan non-volatil Secure Enclave.

Di perangkat dengan A12, S4, dan SoC yang lebih baru, Secure Enclave dipasangkan dengan Komponen Penyimpanan Aman untuk penyimpanan entropi. Komponen Penyimpanan Aman dirancang dengan kode ROM tetap, pembuat nomor acak perangkat keras, kunci kriptografi unik per perangkat, mesin kriptografis, dan deteksi kerusakan fisik. Secure Enclave dan Komponen Penyimpanan Aman berkomunikasi menggunakan protokol yang dienkripsi dan disahkan yang menyediakan akses eksklusif ke entropi.

Perangkat yang pertama kali dirilis pada Musim Gugur 2020 atau lebih baru dilengkapi dengan Komponen Penyimpanan Aman generasi ke-2. Komponen Penyimpanan Aman generasi ke-2 menambahkan kotak kunci penghitung. Setiap kotak kunci penghitung menyimpan salt 128 bit, pemverifikasi kode sandi 128 bit, penghitung 8 bit, dan nilai percobaan maksimum 8 bit. Akses ke kotak kunci penghitung dilakukan melalui protokol yang dienkripsi dan disahkan.

Kotak kunci penghitung menyimpan entropi yang dibutuhkan untuk membuka data pengguna yang dilindungi kode sandi. Untuk mengakses data pengguna, Secure Enclave yang dipasangkan harus menurunkan nilai entropi kode sandi yang benar dari kode sandi pengguna dan UID Secure Enclave. Kode sandi pengguna tidak dapat dipelajari menggunakan percobaan membuka yang dikirim dari sumber selain Secure Enclave yang dipasangkan. Jika batas percobaan kode sandi terlampaui (misalnya, 10 percobaan di iPhone), data yang dilindungi kode sandi akan dihapus sepenuhnya oleh Komponen Penyimpanan Aman.

Untuk membuat kotak kunci penghitung, Secure Enclave mengirimi Komponen Penyimpanan Aman nilai entropi kode sandi dan nilai percobaan maksimum. Komponen Penyimpanan Aman membuat nilai salt menggunakan pembuat angka acaknya. Komponen lalu menurunkan nilai pemverifikasi kode sandi dan nilai entropi kotak kunci dari entropi kode sandi yang disediakan, kunci kriptografis unik Komponen Penyimpanan Aman, dan nilai salt. Komponen Penyimpanan Aman memulai kotak kunci penghitung dengan jumlah 0, nilai percobaan maksimum yang disediakan, nilai pemverifikasi kode sandi yang diturunkan, dan nilai salt. Komponen Penyimpanan Aman lalu mengembalikan nilai entropi kotak kunci yang dibuat ke Secure Enclave.

Untuk menerima nilai entropi kotak kunci dari kotak kunci penghitung nanti, Secure Enclave mengirimkan entropi kode sandi ke Komponen Penyimpanan Aman. Komponen Penyimpanan Aman terlebih dahulu menambahkan penghitung untuk kotak kunci. Jika penghitung yang ditambahkan melampaui nilai percobaan maksimum, Komponen Penyimpanan Aman menghapus kotak kunci penghitung sepenuhnya. Jika jumlah percobaan maksimum belum tercapai, Komponen Penyimpanan Aman mencoba untuk menurunkan nilai pemverifikasi kode sandi dan nilai entropi kotak kunci dengan algoritme yang sama dengan yang digunakan untuk membuat kotak kunci penghitung. Jika nilai pemverifikasi kode sandi turunan sesuai dengan nilai pemverifikasi kode sandi yang disimpan, Komponen Penyimpanan Aman mengembalikan nilai entropi kotak kunci ke Secure Enclave dan mengatur ulang penghitung ke 0.

Kunci yang digunakan untuk mengakses data yang dilindungi kata sandi berakar di entropi yang disimpan di kotak kunci penghitung. Untuk informasi lainnya, lihat Tinjauan Perlindungan Data.

Penyimpanan non-volatil aman digunakan untuk semua layanan anti-pemutaran ulang di Secure Enclave. Layanan anti-pemutaran ulang di Secure Enclave digunakan untuk pembatalan data pada saat kejadian yang menandai batasan anti-pemutaran ulang meliputi, tapi tidak terbatas pada, hal berikut ini:

• Perubahan kode sandi

• Mengaktifkan atau menonaktifkan Face ID atau Touch ID

• Menambah atau menghapus wajah Face ID atau sidik jari Touch ID

• Pengaturan ulang Face ID atau Touch ID

• Menambahkan atau menghapus kartu Apple Pay

• Menghapus Semua Konten dan Pengaturan

Di arsitektur yang tidak disertai dengan Komponen Penyimpanan aman, EEPROM (memori hanya baca yang dapat dihapus dan diprogram secara elektris) digunakan untuk menyediakan layanan penyimpanan aman untuk Secure Enclave. Seperti Komponen Penyimpanan Aman, EEPROM dipasang dan hanya dapat diakses dari Secure Enclave, tapi tidak berisi fitur keamanan perangkat keras khusus dan tidak menjamin akses eksklusif ke entropi (terlepas dari karakteristik pemasangan fisiknya) serta fungsi kotak kunci penghitung.

Neural Engine Aman

Di perangkat dengan Face ID (bukan Touch ID), Neural Engine Aman mengonversi gambar 2D dan peta kedalaman ke representasi matematis wajah pengguna.

Di SoC A11 hingga A13, Neural Engine Aman diintegrasikan ke Secure Enclave. Neural Engine Aman menggunakan akses memori langsung (DMA) untuk kinerja tinggi. Unit manajemen memori input-output (IOMMU) di bawah kontrol kernel sepOS membatasi akses langsung ini ke bidang memori yang disahkan.

Dimulai dari A14, M1, atau lebih baru, Neural Engine Aman diimplementasikan sebagai mode aman di Neural Engine Prosesor Aplikasi. Pengontrol keamanan perangkat keras terdedikasi beralih di antara tugas Prosesor Aplikasi dan Secure Enclave, yang mengatur ulang status Neural Engine di setiap transisi untuk menjaga data Face ID tetap aman. Mesin terdedikasi menerapkan enkripsi memori, pengesahan, dan kontrol akses. Pada saat yang bersamaan, mesin menggunakan kunci kriptografis terpisah dan cakupan memori untuk membatasi Neural Engine Aman ke bidang memori yang disahkan.

Monitor daya dan clock

Semua elektronik dirancang untuk beroperasi dalam batas voltase dan gelombang frekuensi. Saat dioperasikan di luar gelombang ini, elektronik tidak dapat berfungsi dengan benar lalu kontrol keamanan dapat dilewati. Untuk membantu memastikan bahwa voltase dan frekuensi tetap berada dalam cakupan yang aman, Secure Enclave dirancang dengan sirkuit pengawasan. Sirkuit pengawasan ini dirancang untuk memiliki gelombang pengoperasian yang lebih besar dibandingkan sisa Secure Enclave. Jika monitor mendeteksi titik operasi ilegal, clock di Secure Enclave secara otomatis berhenti dan tidak dimulai ulang hingga pengaturan ulang SoC berikutnya.

Ringkasan fitur Secure Enclave