Avainten suojaaminen vaihtoehtoisissa käynnistystiloissa
Tietojen suojaus on suunniteltu tarjoamaan pääsy käyttäjän tietoihin vasta onnistuneen tunnistautumisen jälkeen ja vain valtuutetulle käyttäjälle. Tietojen suojausluokat on suunniteltu tukemaan erilaisia käyttötarkoituksia, kuten mahdollisuutta lukea ja kirjoittaa joitakin tietoja silloinkin, kun laite on lukittuna (mutta kun sen lukitus on kerran avattu). Vaihtoehtoisissa käynnistystiloissa käyttäjätietoihin pääsylle tehdään lisäsuojauksia, kuten sellaisia, joita käytetään DFU-tilassa, palautustilassa, Apple-vianmäärityksessä tai jopa ohjelmistopäivityksen aikana. Nämä ominaisuudet perustuvat yhdistelmään laitteiston ja ohjelmiston ominaisuuksia, ja niitä on laajennettu Applen suunnitteleman sirun kehittymisen myötä.
Ominaisuus | A10 | A11 tai uudempi S3 tai uudempi M1 tai uudempi |
Palautus: Kaikki tietojen suojausluokat suojataan |
|
|
Vaihtoehtoiset DFU-tilan käynnistykset, Palautus ja ohjelmistopäivitykset: Luokan A, B ja C tietojen suojaus |
|
|
Secure Enclaven AES-komponentissa on lukittavia ohjelmiston siemenbittejä. Kun avaimia luodaan UID:stä, nämä siemenbitit sisällytetään avaimen johtamisfunktioon avainten lisähierarkioiden luomiseksi. Siemenbitin käyttötapa vaihtelee järjestelmäpiiristä (SoC) riippuen:
Applen A10- ja S3-järjestelmäpiireistä alkaen siemenbitti on tarkoitettu käyttäjän pääsykoodilla suojattujen avainten erottamiseen. Siemenbitti asetetaan avaimille, jotka vaativat käyttäjän pääsykoodin (mukaan lukien tietojen suojausluokkien A, B ja C avaimet), ja poistetaan avaimilta, jotka eivät vaadi käyttäjän pääsykoodia (mukaan lukien tiedostojärjestelmän metatietojen avain ja luokan D avaimet).
iOS 13.1:ssä, iPadOS 13:ssa ja visionOS 1:ssä tai uudemmissa, joiden laitteissa on A10 tai uudempi, pääsy käyttäjän tietoihin estetään kryptografisesti, kun laitteet käynnistetään vianmääritystilaan. Tämä saavutetaan lisäämällä siemenbitti, jonka asetus hallitsee mahdollisuutta käyttää tallennuslaiteavainta, jota itsessään tarvitaan kaikkien tietojen suojauksella salatun taltion metatietojen (ja sen vuoksi kaiken tiedostojen sisällön) käyttämiseen. Tämä suojaus sisältää kaikissa luokissa (A, B, C ja D) suojatut tiedostot, eikä vain ne, jotka vaativat käyttäjän salasanan.
A12-järjestelmäpiiriä käyttävissä laitteissa Secure Enclaven Boot ROM lukitsee pääsykoodin siemenbitin, jos appeja suorittava prosessori on siirtynyt DFU-tilaan (Device Firmware Upgrade) tai Palautustilaen. Kun pääsykoodin siemenbitti on lukittu, mitään toimintoja sen muuttamiseksi ei sallita. Tämä on suunniteltu estämään käyttäjän pääsykoodilla suojattujen tietojen käyttöä.
Laitteen palauttaminen sen jälkeen, kun se on siirtynyt DFU-tilaan, palauttaa sen hyväksi tunnettuun tilaan, jolloin voidaan olla varmoja, että siinä on vain muokkaamatonta Applen allekirjoittamaa koodia. DFU-tilaan voidaan siirtyä käsin.
Lue seuraava Applen tukiartikkeli siitä, kuinka laite asetetaan DFU-tilaan:
Laite | Applen tukiartikkeli |
|---|---|
iPad, iPhone | Jos olet unohtanut iPhonen pääsykoodisi tai iPhone on poistettu käytöstä |
Apple TV | |
Applen sirulla varustettu Mac |