Appleプラットフォームのセキュリティ
- ようこそ
- Appleプラットフォームのセキュリティの概要
- 用語集
- 改訂履歴
- 著作権および商標
ハードウェアセキュリティの概要
保護する必要があるソフトウェアは、セキュリティが組み込まれているハードウェア上に置かれている必要があります。iOS、iPadOS、macOS、tvOS、visionOS、およびwatchOSを搭載したAppleデバイスのシリコンにセキュリティ機能が埋め込まれているのは、そのためです。これらの機能には、システムセキュリティ機能を供給するCPUや、セキュリティ機能専用の追加のチップが含まれます。セキュリティに重点を置いたハードウェアは、攻撃対象領域を最小限に抑えるために、個別に定義された限定機能に対応するという原則に従います。このようなコンポーネントには、セキュアブートのハードウェア信頼ルートを形成するBoot ROM、効率的で安全な暗号化と復号のための専用AESエンジン、およびSecure Enclaveなどがあります。Secure EnclaveはAppleのSystem on Chip（SoC）のコンポーネントです。これは、iPad、iPhone、Apple TV、Apple Vision Pro、Apple Watch、HomePodデバイスのすべての最新モデルと、Appleシリコン搭載MacおよびApple T2セキュリティチップ搭載Macのすべてに含まれています。Secure EnclaveはSoCと同じ設計原則に従い、独自のディスクリートBoot ROMおよびAdvanced Encryption Standard（AES）エンジンを持ちます。Secure Enclaveは、保存されたデータの暗号化に必要な鍵の安全な生成と保存の基盤も提供し、Optic ID、Face ID、およびTouch IDの生体認証データを保護および評価します。
ストレージの暗号化は、高速かつ効率的に処理する必要があります。同時に、暗号鍵の関係を構築する際に使用するデータ（または鍵マテリアル）が公開されることも防ぐ必要があります。AESハードウェアエンジンは、ファイルの書き込みまたは読み取り時に高速のインライン暗号化と復号を実行することにより、この問題を解決します。Secure Enclaveからの特殊なチャネルは、この情報をアプリケーションプロセッサ（またはCPU）またはオペレーティングシステム全体に公開することなく、必要な鍵マテリアルをAESエンジンに提供します。そのため、存続期間の長い暗号鍵を公開することなく、Appleのデータ保護およびFileVaultテクノロジーによってユーザのファイルを保護できます。
Appleが設計したセキュアブートは、最下位レベルのソフトウェアを改ざんから保護し、Appleから提供された信頼できるオペレーティングシステムソフトウェアのみが起動時に読み込まれるようにするためのものです。セキュアブートは、Apple SoC製造時に書き込まれるBoot ROMという変更不可のコードから始まります。このコードはハードウェア信頼ルートとも呼ばれます。T2チップを搭載したMacでは、T2がmacOSのセキュアブートの信頼の起点になります。（T2チップとSecure Enclaveは、どちらも独自の別々のBoot ROMを使用して独自のセキュアブートプロセスを実行します。これは、AシリーズおよびMシリーズのチップが安全にブートする方法とまったく同じです。）
Secure Enclaveは、AppleデバイスでOptic ID、Face ID、およびTouch IDセンサーからの視線、顔、および指紋のデータも処理します。これにより、ユーザの生体認証データのプライバシーとセキュリティを確保しながら、安全に認証できます。さらに、アクセス時や購入時などの多くの状況下で、長く複雑なパスコードおよびパスワードと同等のセキュリティを保ちながら、素早く簡単にユーザを認証できるようになります。