watchOSのシステムのセキュリティ
Apple Watchは、iOSおよびiPadOSで使用されるものと同じハードウェアベースのプラットフォームセキュリティ機能の多くを使用します。例えば、Apple Watchは以下の機能を備えています:
セキュアブートおよび安全なソフトウェアアップデートを実行する
オペレーティングシステムの整合性を維持する
デバイス上のデータと、ペアリングされたiPhoneやインターネットとの通信中のデータの両方を保護する
サポートされているテクノロジーには、「システムセキュリティ」に記載されているテクノロジー（KIP、SKP、SCIPなど）のほか、データ保護、キーチェーン、およびネットワークテクノロジーなどがあります。
watchOSをアップデートする
watchOSは夜間にアップデートするように設定できます。アップデート時のApple Watchのパスコードの保存および使用方法について詳しくは、キーバッグを参照してください。
手首検出
手首検出がオンになっている場合は、Apple Watchを手首から外すとすぐに、自動的にロックされます。手首検出がオフになっている場合は、コントロールセンターにApple Watchをロックするためのオプションが表示されます。Apple Watchがロックされていると、Apple PayはApple Watchのパスコードを入力した場合にのみ使用できます。手首検出をオフにするには、iPhoneのWatchアプリを使用します。また、デバイス管理サービスを使用してこの設定を強制的に適用することもできます。
アクティベーションロック
iPhoneで「探す」をオンにすると、ペアリングされているApple Watchでもアクティベーションロックを使用できます。アクティベーションロックにより、Apple Watchの紛失または盗難時に、そのApple Watchを他人が使用または売却することが困難になります。アクティベーションロックが有効になっている場合、Apple Watchのペアリング解除、消去、再アクティベーションにはそのユーザのApple Accountとパスワードが必要になります。詳しくは、アクティベーションロックのセキュリティを参照してください。
iPhoneとの安全なペアリング
Apple Watchは、一度に1台のiPhoneとのみペアリングできます。Apple Watchのペアリングが解除されると、iPhoneは、Watchからすべてのコンテンツと設定を消去するよう指示します。
Apple WatchとiPhoneとのペアリングは、Apple Watchに表示され、iPhoneのカメラで読み取られるアニメーションパターンにエンコードされたシークレットによって保護されます。必要な場合は、ペアリングのフォールバック手法として、6桁のPINも利用できます。シークレットやPINの使用方法は、Apple WatchおよびiPhoneで実行されているオペレーティングシステムのバージョンによって異なります。
watchOS 26以降を搭載したApple WatchをiOS 26以降を搭載したiPhoneとペアリングする場合は、安全なIKEv2接続で鍵を交換してペアリングを行います。この接続は、アニメーションパターンにエンコードされたシークレットを使用した標準PSK認証か、SPAKE2+を使用してPINから導出した接続に固有なシークレットで認証されます。楕円曲線Diffie-Hellmanによるセキュリティに加えて、量子セキュリティを提供するためにML-KEM-1024が使用されます。
接続が確立されると、各デバイスでランダムなEd25519公開/秘密鍵のペアが生成され、公開鍵が交換されます。秘密鍵は、Apple WatchのSecure Enclaveをルートとします。iPhoneでこれを行うことはできません。iCloudバックアップを同じiPhoneに復元するユーザは、移行しなくても既存のApple Watchのペアリングを保持するためです。各デバイスは、BLE 4.1のアウトオブバンドのペアリング用シークレットも生成および交換します。
古いソフトウェアバージョンを搭載したApple WatchとiPhoneでは、アニメーションパターンにエンコードされたシークレットはBLE 4.1のアウトオブバンドのペアリングに、6桁のPINは標準のBLEパスキー入力によるペアリングに使用されます。BLEセッションが確立され、Bluetoothコア仕様で使用可能な最高のセキュリティプロトコルを使用して暗号化されたあと、iPhoneとApple Watchが以下のいずれかを使用して鍵を交換します:
iMessageのセキュリティの概要で説明されている、Apple Identity Service（IDS）から応用されたプロセス。
IKEv2/IPSecを使用した鍵交換。最初の鍵交換はBluetoothセッション鍵（ペアリングの場合）またはIDS鍵（オペレーティングシステムのアップデートの場合）を使用して認証されます。各デバイスでEd25519公開/秘密鍵ペアが生成され、最初の鍵交換プロセスで公開鍵が交換されます。watchOS 10以降を搭載したApple Watchが初めてペアリングされたとき、秘密鍵はそのSecure Enclaveをルートとします。
iOS 17以降を搭載したiPhoneでは、秘密鍵はSecure Enclaveをルートにしません。iCloudバックアップを同じiPhoneに復元するユーザは、移行しなくても既存のApple Watchのペアリングを保持するためです。
注記: 鍵交換や暗号化に使用されるメカニズムは、iPhoneおよびApple Watchのオペレーティングシステムのバージョンによって異なります。iOS 13以降を搭載したiPhoneは、watchOS 6以降を搭載したApple Watchとペアリングされた場合、鍵交換と暗号化にIKEv2/IPSecのみが使用されます。
鍵の交換後に、以下のことが行われます:
Bluetoothセッション鍵が破棄され、iPhoneとApple Watch間のすべての通信が、上記のいずれかの方法で暗号化されます。暗号化されたBluetooth、Wi-Fi、およびモバイルデータ通信のリンクが二次的な暗号化レイヤーを提供します。
誰かが持続的な識別情報をブロードキャストした場合にデバイスがローカルでトラッキングされるリスクを減らすため、BLEデバイスのアドレスのローテーションも15分間隔で行われます。
（IKEv2/IPsecのみ）鍵がシステムキーチェーンに保存され、デバイス間での今後のIKEv2/IPsecセッションの認証に使用されます。デバイス間の暗号化は、ハードウェアとオペレーティングシステムによって異なります:
watchOS 26以降を搭載したApple WatchとペアリングされているiOS 26以降を搭載したiPhoneでは、楕円曲線Diffie-Hellmanによるセキュリティに加え、量子セキュリティ用にML-KEM-768が使用されます。
watchOS 8以降を搭載したApple Watch Series 4以降とペアリングされているiOS 15以降を搭載したiPhoneでは、AES-256-GCMを使用して暗号化され、整合性が保護されます。
それより古いデバイスや古いオペレーティングシステムのバージョンを搭載したデバイスでは、256ビット鍵のChaCha20-Poly1305。
データのストリーミングが必要なアプリをサポートするため、FaceTimeのセキュリティで説明されている方式で暗号化が提供されます。この方式では、ペアリングされたiPhoneが提供するApple Identity Service（IDS）、または直接のインターネット接続が使用されます。
Apple Watchは、ハードウェアで暗号化されたストレージと、ファイルおよびキーチェーン項目のクラスベースの保護を実装しています。また、キーチェーン項目用のアクセス制御されたキーバッグも使用されます。Apple WatchとiPhone間の通信に使用される鍵も、クラスベースの保護を使用して保護されます。詳しくは、データ保護用のキーバッグを参照してください。
macOSでApple Watchを使って承認する
Apple Watchでの自動ロック解除が有効になっている場合、Apple WatchをTouch IDの代わりに使用するか、Touch IDと併用して、以下のものからの許可および認証の要求を承認できます。
承認を要求するmacOSおよびAppleアプリ
認証を要求する他社製アプリ
保存されているSafariパスワード
秘密メモ
Wi-Fi、モバイルデータ通信、iCloud、およびGmailの安全な使用
Apple WatchがBluetoothの通信範囲内にない場合は、代わりにWi-Fiまたはモバイルデータ通信を使用できます。Apple Watchは、ペアリングされたiPhoneですでに接続され、両デバイスが通信範囲内にあるときにその資格情報がApple Watchに同期されているWi-Fiネットワークに、自動的に接続します。この自動接続の動作は、接続後、Apple Watchの設定アプリの「Wi-Fi」セクションでネットワークごとに設定できます。いずれのデバイスでも以前に接続したことのないWi-Fiネットワークの場合は、Apple Watchの設定アプリの「Wi-Fi」セクションから手動で接続できます。
Apple WatchとiPhoneが互いの通信範囲内にないときは、ペアリングされたiPhoneとインターネット経由でメールデータを同期する代わりに、Apple WatchがiCloudサーバやGmailサーバに直接接続してメールを取得します。Gmailアカウントを使用する場合、ユーザは、iPhoneのWatchアプリの「メール」セクションでGoogleへの認証を行う必要があります。Googleから受け取ったOAuthトークンがApple Identity Service（IDS）経由で暗号化されてApple Watchに送信され、メールの取得に使用できるようになります。このOAuthトークンは、ペアリングされたiPhoneからGmailサーバに接続するときには使用されません。