
Обзор аппаратных функций безопасности
Для безопасной работы программного обеспечения требуется оборудование со встроенными функциями безопасности. Вот почему на устройствах Apple — с iOS, iPadOS, macOS, tvOS и watchOS — функции безопасности встроены в процессор. К этим функциям относится центральный процессор, обеспечивающий работу функций безопасности системы, а также дополнительный выделенный чип, который отвечает только за функции, связанные с безопасностью. Аппаратные средства безопасности следуют принципу поддержки ограниченного набора функций, которые определяются по отдельности, чтобы минимизировать атакуемую область. Такие компоненты включают загрузочное ПЗУ, которое задает аппаратный корень доверия для безопасной загрузки, выделенные модули AES для эффективного и безопасного шифрования и расшифровки, а также Secure Enclave. Secure Enclave — это компонент системы на кристалле (SoC) Apple, которой оснащены все устройства iPhone, iPad, Apple Watch, Apple TV и HomePod новых поколений, а также все компьютеры Mac с чипом Apple и компьютеры Mac с чипом безопасности Apple T2. Secure Enclave построен по тому же принципу, что и вся система на кристалле: он содержит собственное дискретное загрузочное ПЗУ и собственный дискретный модуль AES. Secure Enclave также закладывает основу для безопасного создания и хранения ключей, необходимых для шифрования хранящихся на устройстве данных, и защищает и оценивает биометрические данные для Face ID и Touch ID.
Шифрование хранилища должно выполняться быстро и эффективно. При этом не должны раскрываться те данные (или данные ключей), которые используются для построения отношений в криптографической системе с ключами. Аппаратный модуль AES решает эту задачу, выполняя быстрое шифрование и расшифровку по мере записи или чтения файлов. Необходимые данные ключей передаются по специальному каналу из Secure Enclave в модуль AES, не раскрывая эту информацию процессору приложений (или центральному процессору) или всей операционной системе. Это помогает функции защиты данных и технологии FileVault компании Apple защитить файлы пользователей, не раскрывая долговременные ключи шифрования.
Компания Apple разработала безопасную загрузку, чтобы защитить программное обеспечение самых низких уровней от взлома и чтобы при запуске загружалось только доверенное программное обеспечение операционной системы, разработанное Apple. В основе безопасной загрузки лежит постоянный код загрузочного ПЗУ, который закладывается в процессе изготовления систем на кристалле Apple и называется аппаратным корнем доверия. На компьютерах Mac с чипом T2 цепочка доверия безопасной загрузки macOS начинается с чипа T2. (Чип T2 и Secure Enclave также выполняют собственную безопасную загрузку, используя собственное загрузочное ПЗУ, что представляет собой точный аналог безопасной загрузки чипа серии A и чипов M1 и M2.)
Secure Enclave также обрабатывает данные распознавания лиц и отпечатков пальцев, полученные от сенсоров Face ID и Touch ID на устройствах Apple. Таким образом обеспечивается безопасная аутентификация с сохранением конфиденциальности биометрических данных. Пользователи также могут использовать более длинные и сложные пароли и код-пароли для повышения безопасности, при этом во многих ситуациях продолжая использовать быструю аутентификацию для доступа к функциям и совершения покупок.