![](https://help.apple.com/assets/6537FB06A074DBB5E802EA07/6537FB31280588A5490B6E1D/zh_TW/52d714626638d3391623c853be0c593b.png)
詞彙表
- 可抹除儲存空間
NAND 儲存區中專門用於儲存加密編譯密鑰的區域,可以直接定址和安全清除。若攻擊者實際持有裝置,可抹除儲存空間便無法提供保護,但其中的密鑰可以用作密鑰階層的一部分,以執行快速清除並提高安全性。
- 安全儲存元件
此晶片的設計包含無法更改的 RO 程式碼、硬體亂數產生器、加密引擎,以及物理篡改偵測。在受支援的裝置上,「安全隔離區」會與「安全儲存元件」配對,以用於儲存反重放值。為讀取和更新反重放值,「安全隔離區」和儲存晶片會利用安全通訊協定,以協助確保反重放值的獨佔存取權。此技術已歷經多個世代更迭,提供不同的安全性保證。
- 行動裝置管理(MDM)
讓管理者可遠端管理已註冊裝置的服務。裝置註冊後,管理者就可以透過網路使用 MDM 服務來在裝置上配置設定及執行其他任務,無需使用者互動。
- 佈建描述檔
由 Apple 簽署的佈建描述檔(.plist 檔案),其包含一組實體和授權,允許在 iOS 和 iPadOS 裝置上裝並測試 App。開發用的佈建描述檔會列出開發者選擇用來參與臨時發佈的裝置;發佈佈建描述檔中包含企業開發 App 的 App ID。
- 位址空間配置隨機載入(ASLR)
作業系統使用的一項技術,可讓程式錯誤遭到不當利用的成功率大幅降低。藉由確保記憶體位址和位移無法預測,入侵的程式碼便無法對這些值進行硬式編碼。
- 系統副處理器完整保護(SCIP)
Apple 用來防止副處理器韌體遭修改的機制。
- 系統軟體授權
此程序結合了硬體內建的加密編譯密鑰與線上服務,以檢查升級時只會提供和安裝來自 Apple 的合法軟體(適用性取決於支援的裝置)。
- 系統單晶片(SoC)
一種積體電路(IC),可將多重元件整合到單片晶片上。應用程式處理器「安全隔離區」和其他副處理器是 SoC 的元件。
- 直接記憶體存取(DMA)
此功能可讓硬體子系統略過 CPU 直接存取主記憶體。
- 門禁
在 macOS 中,設計來協助確保使用者的 Mac 上只會執行受信任的軟體。
- 指紋紋路角度對應
從指紋的一部分擷取出,描述紋路走向和寬度的數學表示資料。
- 記憶體控制器
系統單晶片中的子系統,負責控制系統單晶片與其主記憶體之間的介面。
- 唯一晶片識別碼(ECID)
每部 iPhone 或 iPad 處理器中的一個 64 位元唯一識別碼。
- 唯一識別碼(UID)
在製造過程中便直接燒入每個處理器的 256 位元 AES 密鑰。唯一識別碼無法由韌體或軟體讀取,只能由處理器的硬體 AES 引擎使用。若要取得實際密鑰,攻擊者必須裝載極為複雜且昂貴的實體攻擊來入侵處理器的矽晶片。UID 與裝置上的任何其他識別碼(包含但不限於 UDID)均無關聯。
- 密封密鑰保護(SKP)
「資料保護」的一種技術,可透過系統軟體上的測量值和僅存於硬體中的密鑰(例如「安全隔離區」中的 UID)來保護或密封加密密鑰。
- 密碼衍生密鑰(PDK)
衍生密鑰,衍生自使用者密碼與長期 SKP 密鑰和「安全隔離區」UID 的纏結。
- 密鑰封裝
使用一個密鑰來加密另一個密鑰。iOS 和 iPadOS 遵循 RFC 3394 使用 NIST AES 密鑰封裝。
- 啟動切換
支援在受支援的 Mac 電腦上安裝 Microsoft Windows 的 Mac 工具程式。
- 軟體種子位元
「安全隔離區 AES 引擎」中的專屬位元,從 UID 產生密鑰時會附加至 UID。每個軟體種子位元都有對應的鎖定位元。只要對應的鎖定位元尚未設定,「安全隔離區」開機 ROM 和作業系統便可獨立變更每個軟體種子位元的值。設定鎖定位元後,軟體種子位元和鎖定位元均無法修改。「安全隔離區」重新啟動時,軟體種子位元和其鎖定位元會重置。
- 媒體密鑰
加密密鑰階層的一部分,可協助安全並即時的清除。在 iOS、iPadOS、tvOS 和 watchOS 中,媒體密鑰會封裝資料卷宗上的後設資料(因此若缺少媒體密鑰便無法存取所有檔案專屬密鑰,讓使用「資料保護」防護的檔案無法存取)。在 macOS 中,媒體密鑰會封裝密鑰材料、所有後設資料,以及受「檔案保險箱」保護的卷宗上的所有資料。在任一情況下,清除媒體密鑰都會使加密的資料無法存取。
- 復原模式
如果無法識別使用者的裝置,復原模式可用於復原許多 Apple 裝置,讓使用者能重新安裝作業系統。
- 硬體安全模組(HSM)
專門用來防止竄改的電腦,可保護並管理數位密鑰。
- 統一可延伸韌體介面(UEFi)韌體
此技術了取代 BIOS,用於將韌體連接至電腦的作業系統。
- 統一資源識別碼(URI)
一個可識別網頁式資源的字元字串。
- 開機 ROM
裝置在第一次啟動時,由處理器所執行的第一個程式碼。作為處理器的其中一個必要部分,無論是 Apple 或攻擊者皆無法對其進行修改。
- 開機進度暫存器(BPR)
一組系統單晶片(SoC)硬體旗標,可讓軟體追蹤裝置進入哪種開機模式,例如裝置韌體升級(DFU)模式和復原模式。「開機進度暫存器」旗標設定後就無法清除。這可讓之後的軟體取得系統狀態的信任指標。
- 群組識別碼(GID)
類似 UID,同一類別中每個處理器的 GID 皆相同。
- 裝置韌體升級(DFU)模式
裝置的開機 ROM 程式碼在等待透過 USB 回復時所處的模式。處於 DFU 模式時畫面為黑色,但在連接到正在執行 iTunes 或 Finder 的電腦時,會顯示以下提示:「Finder(或 iTunes)偵測到一台處於復原模式中的(iPhone 或 iPad)。若要與 Finder(或 iTunes)一同使用,使用者必須復原此(iPhone 或 iPad)。」
- 資料保護
受支援的 Apple 裝置之檔案和鑰匙圈保護機制。也可以指 App 用來保護檔案和鑰匙圈項目的 API。
- 增強型序列週邊介面(eSPI)
針對同步序列通訊設計的多合一匯流排。
- 橢圓曲線 Diffie-Hellman Exchange Ephemeral(ECDHE)
以橢圓曲線為基礎的密鑰交換機制。ECDHE 允許兩方同意一個密鑰,同時防止觀察兩方之間訊息的竊聽者發現該密鑰。
- 橢圓曲線數位簽章算法(ECDSA)
以橢圓曲線加密技術為基礎的數位簽章算法。
- 積體電路(IC)
亦稱為微晶片。
- 輸入/輸出記憶體管理單元(IOMMU)
輸入/輸出記憶體管理單元。整合式晶片中的子系統,負責控制其他輸入/輸出裝置和週邊設備的位址空間存取。
- 檔案系統密鑰
用於加密每個檔案後設資料的密鑰,包含其類別密鑰。檔案系統密鑰會保存在可抹除儲存空間中以進行快速清除,而不視為機密。
- 檔案專屬密鑰
由「資料保護」用來加密檔案系統上之檔案的密鑰。檔案專屬密鑰由類別密鑰封裝,且儲存在檔案的後設資料內。
- 聯合測試工作群組(JTAG)
程式設計師和電路開發者使用的標準硬體除錯工具。
- 纏結
使用者的密碼轉換為加密編譯密鑰,並使用裝置 UID 強化的程序。此程序可協助確保暴力密碼破解攻擊必須在指定裝置上才能執行,進而降低發生率,且可避免多部裝置同時受到攻擊。纏結演算法為 PBKDF2,其使用 AES 密鑰搭配裝置 UID,作為每次反覆運算的偽隨機函式(PRF)。
- 鑰匙圈
Apple 作業系統和第三方 App 用來儲存和擷取密碼、密鑰和其他敏感性憑證的基礎架構和 API 組。
- AES 加密引擎
實作 AES 的專用硬體元件。
- AES-XTS
IEEE 1619-2007 中定義的一種 AES 模式,專門用於加密儲存媒體。
- AES(進階加密標準)
一種常見的全域加密標準,用於加密資料以確保私密性。
- APFS(Apple 檔案系統)
iOS、iPadOS、tvOS、watchOS 和採用 macOS 10.13 或以上版本的 Mac 電腦之預設檔案系統。APFS 提供高強度加密、空間共享、快照、快速調整目錄大小以及改良的檔案系統基礎。
- Apple 安全性獎金
Apple 提供給研究人員的獎勵,研究人員回報的漏洞若會影響最新發佈的作業系統及相關最新硬體,便可獲得此獎勵。
- Apple 校務管理
是一個易於使用的入口網站,能提供快速、簡化的方式讓 IT 管理者為組織部署直接購自 Apple 或與 Apple 合作之授權經銷商或電信業者的 Apple 裝置。他們可以在其行動裝置管理(MDM)解決方案中自動註冊裝置,無須在使用者取得前實際操作或準備裝置。
- Apple 商務管理
是一個易於使用的入口網站,能提供快速、簡化的方式讓 IT 管理者為組織部署直接購自 Apple 或與 Apple 合作之授權經銷商或電信業者的 Apple 裝置。他們可以在其行動裝置管理(MDM)解決方案中自動註冊裝置,無須在使用者取得前實際操作或準備裝置。
- Apple 推播通知服務(APNs)
由 Apple 提供的全球性服務,可傳送推播通知到 Apple 裝置。
- Apple 識別服務(IDS)
Apple 的 iMessage 公用密鑰、APNs 位址、電話號碼和電子郵件地址的目錄,用於查詢密鑰和裝置位址。
- CKRecord
鍵值組的字典,其中包含儲存至 CloudKit 或從 CloudKit 擷取的資料。
- Data Vault
此機制由核心強制執行,可保護資料以防未經授權的存取,不論要求權限的 App 本身是否經過沙盒處理。
- HMAC
以加密雜湊函數為基礎的雜湊式訊息驗證碼。
- iBoot
所有 Apple 裝置的第二階段開機載入程式。用來載入 XNU 的程式碼,作為安全開機鏈的一部分。每一代系統單晶片(SoC)的 iBoot 可能在載入方式上有差異,有些是由 Low Level Bootloader 載入,有些則直接由開機 ROM 載入。
- Keybag
用於儲存一組類別密鑰的資料結構。每種類型(使用者、裝置、系統、備份、託管或「iCloud 備份」)的格式皆相同。
標題包含以下內容:版本(iOS 12 或以上版本中設為 4)、類型(系統、備份、託管或「iCloud 備份」)、Keybag UUID、如果 Keybag 已簽署則包含 HMAC,以及用於封裝類別密鑰的方式(與 UID 或 PBKDF2,以及 salt 和反覆運算次數纏結)。
類別密鑰列表:密鑰 UUID、類別(哪個檔案或「鑰匙圈資料保護」類別)、封裝類型(僅限 UID 衍生密鑰、UID 衍生密鑰和密碼衍生密鑰)、封裝類別密鑰和非對稱式類別的公用密鑰。
- Low Level Bootloader(LLB)
在具有雙階段開機架構的 Mac 電腦上,LLB 包還由開機 ROM 叫用的程式碼,接著會作為安全開機鏈的一部分載入 iBoot。
- NAND
非揮發性快閃記憶體。
- sepOS
「安全隔離區」韌體,採用 Apple 特製的 L4 microkernel 版本。
- SSD 控制器
管理儲存媒體(固態硬碟)的硬體子系統。
- xART
eXtended 反重播技術的縮寫。是一組服務,運用實體儲存架構上的反重播功能,為「安全隔離區」提供經過加密和認證的持續儲存機制。請參閱「安全儲存元件」。
- XNU
Apple 作業系統的中央核心。預設為受信任的狀態,且會強制執行安全措施,例如程式碼簽署、沙盒技術限制、授權檢查和位址空間配置隨機載入(ASLR)。
- XProtect
在 macOS 中,根據簽章偵測和移除惡意軟體的防毒技術。