Der sichere nicht flüchtige Speicher wird für alle Anti-Replay-Dienste in der Secure Enclave verwendet. Anti-Replay-Dienste in der Secure Enclave werden zum Widerrufen von Daten zu Ereignissen verwendet, die Anti-Replay-Grenzen markieren. Dazu gehören unter anderem:
Codeänderungen
Optic ID, Face ID oder Touch ID aktivieren oder deaktivieren
Augendaten von Optic ID, Gesichtsdaten von Face ID oder Fingerabdruckdaten von Touch ID hinzufügen oder entfernen
Optic ID, Face ID oder Touch ID zurücksetzen
Hinzufügen oder Entfernen einer Karte in Apple Pay
Löschen aller Inhalte und Einstellungen
In Architekturen ohne Secure Storage-Komponente wird das EEPROM (electrically erasable programmable read-only memory) eingesetzt, um der Secure Enclave sichere Speicherdienste bereitzustellen. Das EEPROM ist genau wie die Secure Storage-Komponente ausschließlich über die Secure Enclave erreichbar und mit ihr verbunden. Es enthält allerdings weder dedizierte Hardwaresicherheitsfunktionen noch kann es exklusiven Zugriff auf die Entropie (über ihre physischen Verbindungscharakteristiken hinaus) oder die Zähler-Lockbox-Funktionen bieten.
Auf der Apple Vision Pro konvertiert die Secure Neural Engine (sichere neuronale Engine) die Bilder des Benutzerauges in eine mathematische Darstellung. Bei Geräten mit Face ID (nicht jedoch auf Geräten mit Touch ID) konvertiert die Secure Neural Engine (sichere neuronale Engine) 2D-Bilder und Tiefendarstellungen des Gesichts eines Benutzers in eine mathematische Darstellung.
Bei SoCs der Typen A11 bis A13 ist die Secure Neural Engine in die Secure Enclave integriert. Im Interesse einer hohen Leistung verwendet die Secure Neural Engine den direkten Zugriff (DMA, Direct Memory Access). Eine IOMMU-Einheit (zur Eingabe-Ausgabe-Speicherverwaltung), die der Steuerung des sepOS-Kernels untersteht, beschränkt diesen direkten Zugriff auf autorisierte Speicherregionen.
Ab A14, M1 oder neueren SoCs ist die Secure Neural Engine als sicherer Modus in die neuronale Engine des Anwendungsprozessors implementiert. Ein dedizierter Controller zur Wahrung der Hardwaresicherheit bewirkt das Umschalten zwischen Anfragen des Anwendungsprozessors und solchen der Secure Enclave, wobei bei jedem Wechsel der Status der neuronalen Engine zurückgesetzt wird, um die Sicherheit der Optic ID- oder Face ID-Daten auf Dauer zu wahren. Eine dedizierte Engine übernimmt die Speicherverschlüsselung, die Authentifizierung und die Zugriffssteuerung. Gleichzeitig kommen ein separater kryptografischer Schlüssel und ein Speicherbereich zum Einsatz, um die Secure Neural Engine auf autorisierte Speicherregionen zu beschränken.
Die gesamte Elektronik ist für den Betrieb innerhalb eines bestimmten Netzspannungs- und Netzfrequenzbereichs ausgelegt. Beim Betrieb außerhalb des vorgegebenen Bereichs kann es zu Fehlfunktionen der Elektronik mit dem Ergebnis kommen, dass Sicherheitsvorkehrungen umgangen werden können. Die Secure Enclave ist mit auf das Monitoring ausgelegten Schaltkreisen ausgestattet, die sicherstellen, dass Netzspannung und Netzfrequenz in einem sicheren Bereich verbleiben. Diese für das Monitoring verwendeten Schaltkreise sind für einen sehr viel größeren Spannungs- und Frequenzbereich ausgelegt als die übrigen Bestandteile der Secure Enclave. Beim Erkennen eines illegalen Betriebspunkts werden die Taktgeber der Secure Enclave automatisch gestoppt; sie können bis zum nächsten Zurücksetzen des SoCs nicht neu gestartet werden.
Hinweis: A12-, A13-, S4- und S5-Produkte, die erstmals im Herbst 2020 ausgeliefert werden, verfügen über eine Secure Storage-Komponente der zweiten Generation, während frühere, auf diesen SoCs basierende Produkte eine Secure Storage-Komponente der ersten Generation besitzen.
SoC
Engine für den Speicherschutz (Memory Protection Engine)
Sicherer Speicher
AES-Engine
PKA
A8
Verschlüsselung und Authentifizierung
EEPROM
Ja
Nein
A9
DPA-Schutz
A10
DPA-Schutz und sperrbare Seed-Bits
An Betriebssystem gebundene Schlüssel
A11
Verschlüsselung, Authentifizierung und Replay-Verhinderung
A12 (vor Herbst 2020 herausgegebene Apple-Geräte)
Secure Storage-Komponente der 1. Generation
A12 (nach Herbst 2020 herausgegebene Apple-Geräte)
Secure Storage-Komponente der 2. Generation
A13 (vor Herbst 2020 herausgegebene Apple-Geräte)
An Betriebssystem gebundene Schlüssel und Boot-Monitor
A13 (nach Herbst 2020 herausgegebene Apple-Geräte)
A14–A18
S3
S4
S5 (vor Herbst 2020 herausgegebene Apple-Geräte)
S5 (nach Herbst 2020 herausgegebene Apple-Geräte)
S6–S9
T2
M1–M4