Глоссарий

Авторизация системного ПО

Процесс, который сочетает в себе использование встроенных в оборудование криптографических ключей и интернет-службы. В рамках этого процесса выполняется проверка, направленная на то, чтобы при обновлении устанавливалось только подлинное программное обеспечение Apple, подходящее для поддерживаемых устройств.

Алгоритм цифровой подписи на основе эллиптической кривой (ECDSA)

Алгоритм цифровой подписи на основе эллиптической криптографии.

Аппаратный модуль системы безопасности (HSM)

Специализированный, устойчивый к взлому компьютер, который защищает цифровые ключи и управляет ими.

Вознаграждение за обнаружение уязвимостей Apple

Вознаграждение, которое компания Apple выплачивает исследователям за сообщение об уязвимостях, затрагивающих последние версии операционных систем или новейшее оборудование.

Защита данных

Механизм защиты файлов и связки ключей для поддерживаемых устройств Apple. Это понятие также относится к API, используемым приложениями для защиты файлов и элементов связки ключей.

Защита ключа

Шифрование одного ключа с помощью другого ключа. iOS и iPadOS используют защиту ключей с помощью шифрования NIST AES по алгоритму RFC 3394.

Защита целостности системного сопроцессора (SCIP)

Механизм, разработанный Apple, чтобы препятствовать изменению прошивки сопроцессора.

Идентификатор группы (GID)

Похож на UID, но совпадает для всех процессоров одного класса.

Интегральная микросхема (IC)

Также известна как микрочип.

Ключ на основе код-пароля (PDK)

Ключ шифрования, полученный путем привязывания пароля пользователя к долгосрочному ключу SKP и UID Secure Enclave.

Ключ носителя

Компонент архитектуры ключей шифрования, который позволяет выполнить безопасное мгновенное стирание. В iOS, iPadOS, tvOS и watchOS ключ носителя защищает метаданные тома данных (следовательно, без него невозможно получить доступ ко всем ключам файлов, а обрабатываемые файлы, которые обрабатываются технологией защиты данных, становятся недоступными). В macOS ключ носителя защищает данные ключа, все метаданные и данные тома, защищенного FileVault. В любом случае стирание ключа носителя приводит к утрате доступа к зашифрованным данным.

Ключ файла

Ключ, используемый технологией защиты данных для шифрования файла в файловой системе. Ключ файла защищается с помощью ключа класса и хранится в метаданных файла.

Ключ файловой системы

Ключ, используемый для шифрования метаданных каждого файла, включая его ключ класса. Ключ файловой системы хранится в стираемом накопителе для обеспечения быстрого стирания в ущерб конфиденциальности.

Компонент защищенного хранилища

Он содержит неизменяемый код только для чтения, аппаратный генератор случайных чисел, криптографические модули и функцию обнаружения физического взлома. На поддерживаемых устройствах для хранения значения функции антиповтора сопроцессор Secure Enclave объединяется в пару с компонентом защищенного хранилища. Для чтения и обновления значений функции антиповтора сопроцессор Secure Enclave и чип хранилища используют безопасный протокол, который помогает предоставить эксклюзивный доступ к значениям функции антиповтора. Существует несколько поколений этой технологии с разными уровнями безопасности.

Контроллер памяти

Подсистема внутри системы на кристалле, управляющая интерфейсом между системой на кристалле и основной памятью.

Контроллер SSD

Аппаратная подсистема, которая управляет носителем информации (твердотельным накопителем).

Криптографический модуль AES

Выделенный аппаратный компонент, который реализует AES.

Модуль управления памятью для операций ввода-вывода (IOMMU)

Модуль управления памятью для операций ввода-вывода. Подсистема, которая интегрирована в чип и контролирует доступ других устройств ввода-вывода и периферийных устройств к адресному пространству.

Низкоуровневый загрузчик (LLB)

На компьютерах Mac с двухэтапной архитектурой загрузки низкоуровневый загрузчик содержит код, загружаемый загрузочным ПЗУ, который затем загружает iBoot как часть безопасной последовательности загрузки.

Привязка

Процесс превращения код-пароля пользователя в криптографический ключ и его усиления с помощью UID устройства. Из-за этой меры атаки методом перебора необходимо проводить на конкретном устройстве, что ограничивает скорость перебора и не позволяет выполнять его параллельно. В качестве алгоритма привязки используется PBKDF2: в качестве псевдослучайной функции на каждой итерации используется AES, согласованный с UID устройства.

Программные начальные биты

Специальные биты в AES-модуле Secure Enclave, которые добавляются к UID при генерации ключей из UID. Каждый программный начальный бит имеет соответствующий защитный бит. Загрузочное ПЗУ Secure Enclave и операционная система Secure Enclave могут независимо друг от друга изменять значение каждого программного начального бита, пока не установлен соответствующий защитный бит. Если защитный бит установлен, невозможно изменить ни программный начальный бит, ни защитный бит. Программные начальные биты и защитные биты сбрасываются при перезагрузке Secure Enclave.

Протокол обмена Диффи — Хеллмана на эллиптических кривых (ECDHE)

Механизм обмена ключами на основе эллиптических кривых. ECDHE позволяет двум сторонам согласовать секретный ключ, предотвратив обнаружение ключа перехватывающим устройством, которое просматривает сообщения между двумя сторонами.

Профиль обеспечения

Список свойств (файл .plist), который подписан компанией Apple и содержит набор субъектов и прав, позволяющих устанавливать и тестировать приложения на устройстве iOS или iPadOS. Профиль обеспечения разработки содержит список устройств, выбранных разработчиком для специализированного распространения, а профиль обеспечения распространения содержит идентификатор корпоративного приложения.

Прошивка унифицированного расширяемого интерфейса (UEFi)

Технология, которая заменяет собой BIOS и обеспечивает взаимодействие прошивки и операционной системы.

Прямой доступ к памяти (DMA)

Функция, которая позволяет аппаратным подсистемам обращаться к основной памяти напрямую, то есть в обход центрального процессора.

Расширенный последовательный периферийный интерфейс (eSPI)

Универсальная шина, разработанная для синхронной последовательной связи.

Реестр процесса загрузки (BPR)

Набор аппаратных флажков системы на кристалле (SoC), используемых программным обеспечением для отслеживания режимов загрузки, в которые вошло устройство, таких как режим обновления прошивки устройства (DFU) и режим восстановления. После того как флажок реестра процесса загрузки установлен, его уже нельзя снять. Благодаря этому запускаемое далее программное обеспечение имеет надежный индикатор состояния системы.

Режим восстановления

Режим восстановления используется для восстановления многих устройств Apple, если не удается распознать устройство пользователя, чтобы пользователь мог переустановить операционную систему.

Режим обновления прошивки устройства (DFU)

Режим, в котором код Boot ROM устройства ожидает восстановления через USB. В режиме DFU экран остается черным, однако при подключении к компьютеру с запущенным приложением iTunes или Finder, отображается сообщение о том, что приложение Finder (или iTunes) обнаружило iPad или iPhone в режиме восстановления, и что iPhone или iPad потребуется восстановить перед использованием с Finder (или iTunes).

Связка ключей

Инфраструктура и набор API, используемые операционными системами Apple и приложениями сторонних разработчиков для хранения и извлечения паролей, ключей и других конфиденциальных учетных данных.

Система на кристалле (SoC)

Интегральная микросхема (IC), которая объединяет несколько компонентов на одном чипе. Процессор приложений, Secure Enclave и другие сопроцессоры являются компонентами системы на кристалле.

Служба идентификации Apple (IDS)

Каталог Apple, в котором хранятся открытые ключи iMessage, адреса APNs, а также номера телефонов и адреса электронной почты, используемые для поиска ключей и адресов устройств.

Служба Apple Push Notification (APNs)

Доступная по всему миру служба Apple, которая обеспечивает доставку push-уведомлений на устройства Apple.

Стираемый накопитель

Выделенная область в хранилище NAND, используемая для хранения криптографических ключей и поддерживающая прямую адресацию и безопасное стирание. Стираемый накопитель не обеспечивает защиту, если злоумышленник физически завладевает устройством, однако хранящиеся в нем ключи могут быть использованы как часть иерархии ключей для обеспечения быстрого стирания и повышения безопасности.

Технология защиты запечатыванием ключей (SKP)

Технология защиты данных, которая защищает, или запечатывает ключи шифрования с помощью измерений программного обеспечения в системе и ключей, доступных только в аппаратном обеспечении (таком как UID Secure Enclave).

Технология случайного расположения в адресном пространстве (ASLR)

Технология, используемая операционными системами для того, чтобы значительно усложнить использование программных ошибок для злоумышленников. Поскольку предсказать адреса памяти и смещения невозможно, вредоносный код не может задать для них конкретные значения.

Угловое представление дактилоскопического узора

Математическое представление направления и толщины линий дактилоскопического узора, полученное из части отпечатка пальца.

Улучшенный стандарт шифрования (AES)

Популярный мировой стандарт шифрования, используемый для сохранения конфиденциальности данных.

Универсальный идентификатор ресурса (URI)

Символьная строка, которая идентифицирует веб-ресурс.

Уникальный идентификатор (UID)

256-битный ключ AES, вшитый в процессор на этапе производства. Этот ключ не может быть считан прошивкой или программным обеспечением, и он используется только аппаратным AES-модулем процессора. Для получения фактического ключа злоумышленнику необходимо провести крайне сложную и дорогостоящую физическую атаку на микросхему процессора. UID не связан ни с каким другим идентификатором на устройстве, включая UDID.

Уникальный идентификатор устройства (ECID)

Уникальный 64-битный идентификатор процессора, установленного в каждом iPhone или iPad.

Управление мобильными устройствами (MDM)

Служба, которая позволяет администратору удаленно управлять зарегистрированными устройствами. После регистрации устройства администратор может настраивать параметры и выполнять другие действия с устройством по сети без участия пользователя, используя службу MDM.

Файловая система Apple (APFS)

Файловая система по умолчанию для iOS, iPadOS, tvOS, watchOS и компьютеров Mac с macOS 10.13 или новее. APFS имеет такие функции, как надежное шифрование, совместное использование пространства, снимки, быстрое определение размера каталогов и усовершенствованные принципы файловой системы.

Хранилище ключей

Структура данных, используемая для хранения коллекции ключей класса. Все типы (пользователь, устройство, система, резервная копия, хранилище и резервная копия iCloud) имеют одинаковый формат.

Заголовок, содержащий следующие элементы: версия (имеет значение 4, начиная с iOS 12); тип (система, резервная копия, хранилище и резервная копия iCloud); UUID хранилища ключей; HMAC, если хранилище ключей подписано; способ защиты ключей класса: привязка к UID или PBKDF2, а также случайное значение («соль») и счетчик повторений.

Список ключей класса: UUID ключа; класс (класс защиты данных файла или связки ключей); тип защиты (ключ на основе только UID; ключ на основе UID и код-пароля); защищенный ключ класса; открытый ключ для асимметричных классов.

AES-XTS

Режим AES, определенный в стандарте IEEE 1619-2007, предназначен для шифрования носителей информации.

Apple Business Manager

Простой веб-портал для ИТ-администраторов, который предоставляет организациям быстрый и оптимальный способ развертывания устройств Apple, приобретенных напрямую у Apple либо участвующих в программе авторизованных реселлеров Apple или операторов сотовых сетей. Регистрацию устройств в решении для управления мобильными устройствами (MDM) можно выполнить автоматически. В этом случае не потребуется физически настраивать или подготавливать устройства перед выдачей пользователям.

Apple School Manager

Простой веб-портал для ИТ-администраторов, который предоставляет организациям быстрый и оптимальный способ развертывания устройств Apple, приобретенных напрямую у Apple либо участвующих в программе авторизованных реселлеров Apple или операторов сотовых сетей. Регистрацию устройств в решении для управления мобильными устройствами (MDM) можно выполнить автоматически. В этом случае не потребуется физически настраивать или подготавливать устройства перед выдачей пользователям.

Boot Camp

Утилита для Mac, которая позволяет установить Microsoft Windows на поддерживаемых компьютерах Mac.

Boot ROM

Самый первый код, исполняемый процессором устройства при первой загрузке. Этот код является неотъемлемой частью процессора и не может быть изменен компанией Apple или злоумышленником.

CKRecord

Словарь пар «ключ-значение», которые содержат данные, сохраненные в CloudKit или извлеченные из CloudKit.

Data Vault

Этот механизм, реализованный на уровне ядра, обеспечивает защиту от несанкционированного доступа к данным независимо от того, помещено ли в песочницу приложение, которое запрашивает данные.

Gatekeeper

Технология в macOS, которая помогает убедиться, что на компьютере Mac пользователя запускается только надежное программное обеспечение.

HMAC

Код аутентификации сообщения на основе хеша, полученный с помощью функции криптографического хеша.

iBoot

Загрузчик второго уровня для устройств Apple. Код, загружающий XNU как часть безопасной последовательности загрузки. В зависимости от поколения системы на кристалле (SoC) iBoot может загружаться низкоуровневым загрузчиком или напрямую загрузочным ПЗУ.

Joint Test Action Group (JTAG)

Стандартное средство отладки оборудования, используемое программистами и разработчиками микросхем.

NAND

Энергонезависимая флеш-память.

sepOS

Прошивка Secure Enclave на основе версии микроядра L4, доработанной компанией Apple.

xART

Аббревиатура, которая расшифровывается как eXtended Anti-Replay Technology, то есть расширенная технология антиповтора. Набор служб, которые предоставляют Secure Enclave зашифрованное постоянное хранилище с аутентификацией и возможностями антиповтора на основе архитектуры физического хранилища. Подробные сведения приведены в разделе «Компонент защищенного хранилища».

XNU

Ядро, лежащее в основе операционных систем Apple. Это ядро считается доверенным, и оно обеспечивает применение специальных средств безопасности, таких как подпись кода, песочница, проверка прав и технология случайного расположения в адресном пространстве (ASLR).

XProtect

Антивирусная технология в macOS для сигнатурного обнаружения и удаления вредоносного программного обеспечения.