Защищенное энергонезависимое хранилище используется для всех служб антиповтора в Secure Enclave. Службы антиповтора в Secure Enclave используются для аннуляции данных в случае событий, которые отмечают границы антиповтора, включая следующие ситуации (но не ограничиваясь ими):
изменение код-пароля;
включение или выключение Optic ID, Face ID или Touch ID;
добавление или удаление радужки глаза для Optic ID, лица для Face ID или отпечатка пальца для Touch ID;
сброс Optic ID, Face ID или Touch ID;
добавление или удаление карты Apple Pay;
стирание всего контента и настроек.
В архитектурах без компонента защищенного хранилища для предоставления безопасного хранилища сопроцессору Secure Enclave используется EEPROM (электрически стираемая программируемая постоянная память). Аналогично компонентам защищенного хранилища память EEPROM подключается к Secure Enclave и доступна только из него, однако она не содержит выделенных аппаратных функций безопасности, не гарантирует эксклюзивный доступ к энтропийно закодированным элементам (за исключением характеристик физического подключения) и не предоставляет функций защищенного хранилища счетчика.
Защищенный нейронный модуль
На Apple Vision Pro защищенный нейронный модуль преобразует изображения в математические представления глаз пользователя. На устройствах с Face ID (не с Touch ID) защищенный нейронный модуль преобразует двумерные изображения и карты глубины в математические представления лица пользователя.
В системах на кристалле с процессорами Apple с A11 по A13 защищенный нейронный модуль встроен в Secure Enclave. Для обеспечения высокой производительности защищенный нейронный модуль использует прямой доступ к памяти (DMA). Модуль управления памятью ввода-вывода (IOMMU) в элементе управления ядром sepOS ограничивает возможность прямого доступа только разрешенными областями памяти.
Начиная с систем на кристалле A14, M1 и новее защищенная система Neural Engine реализуется как безопасный режим в системе Neural Engine процессора приложений. Выделенный аппаратный контроллер безопасности переключается между задачами процессора приложений и Secure Enclave, сбрасывая состояние нейронного модуля при каждой транзакции для защиты данных Optic ID или Face ID. Выделенный модуль выполняет шифрование памяти, аутентификацию и управление доступом. В то же время он использует отдельный криптографический ключ и диапазон памяти для ограничения возможностей доступа защищенного нейронного модуля только разрешенными областями памяти.
Мониторы питания и тактовой частоты
Все электронные компоненты разработаны для работы в ограниченном диапазоне напряжения и частоты электрического тока. Выход за пределы рабочего диапазона может привести к сбоям в работе электронных компонентов и последующему обходу средств обеспечения безопасности. Secure Enclave оснащается микросхемами для контроля напряжения. Эти микросхемы помогают сохранять характеристики электропитания в пределах рабочего диапазона. Рабочий диапазон таких микросхем намного больше, чем у остальных компонентов Secure Enclave. При обнаружении запрещенного режима работы тактовые генераторы Secure Enclave автоматически останавливаются и не перезапускаются до следующего сброса системы на кристалле.
Обзор функций Secure Enclave
Примечание. Устройства с чипами A12, A13, S4 и S5, впервые выпущенные осенью 2020 года, оснащены компонентом защищенного хранилища 2‑го поколения, а более ранние устройства на основе этих систем на кристалле оснащены компонентом защищенного хранилища 1‑го поколения.
Система на кристалле | Модуль защиты памяти | Защищенное хранилище | Модуль AES | PKA |
|---|---|---|---|---|
A8 | Шифрование и аутентификация | EEPROM | Да | Нет |
A9 | Шифрование и аутентификация | EEPROM | Защита DPA | Да |
A10 | Шифрование и аутентификация | EEPROM | Защита DPA и блокируемые начальные биты | Ключи привязки к операционной системе |
A11 | Шифрование, аутентификация и механизм антиповтора | EEPROM | Защита DPA и блокируемые начальные биты | Ключи привязки к операционной системе |
A12 (устройства Apple, выпущенные до осени 2020 г.) | Шифрование, аутентификация и механизм антиповтора | Компонент защищенного хранилища 1‑го поколения | Защита DPA и блокируемые начальные биты | Ключи привязки к операционной системе |
A12 (устройства Apple, выпущенные после осени 2020 г.) | Шифрование, аутентификация и механизм антиповтора | Компонент защищенного хранилища 2‑го поколения | Защита DPA и блокируемые начальные биты | Ключи привязки к операционной системе |
A13 (устройства Apple, выпущенные до осени 2020 г.) | Шифрование, аутентификация и механизм антиповтора | Компонент защищенного хранилища 1‑го поколения | Защита DPA и блокируемые начальные биты | Ключи привязки к операционной системе и монитор загрузки |
A13 (устройства Apple, выпущенные после осени 2020 г.) | Шифрование, аутентификация и механизм антиповтора | Компонент защищенного хранилища 2‑го поколения | Защита DPA и блокируемые начальные биты | Ключи привязки к операционной системе и монитор загрузки |
A14–A18 | Шифрование, аутентификация и механизм антиповтора | Компонент защищенного хранилища 2‑го поколения | Защита DPA и блокируемые начальные биты | Ключи привязки к операционной системе и монитор загрузки |
S3 | Шифрование и аутентификация | EEPROM | Защита DPA и блокируемые начальные биты | Да |
S4 | Шифрование, аутентификация и механизм антиповтора | Компонент защищенного хранилища 1‑го поколения | Защита DPA и блокируемые начальные биты | Ключи привязки к операционной системе |
S5 (устройства Apple, выпущенные до осени 2020 г.) | Шифрование, аутентификация и механизм антиповтора | Компонент защищенного хранилища 1‑го поколения | Защита DPA и блокируемые начальные биты | Ключи привязки к операционной системе |
S5 (устройства Apple, выпущенные после осени 2020 г.) | Шифрование, аутентификация и механизм антиповтора | Компонент защищенного хранилища 2‑го поколения | Защита DPA и блокируемые начальные биты | Ключи привязки к операционной системе |
S6–S9 | Шифрование, аутентификация и механизм антиповтора | Компонент защищенного хранилища 2‑го поколения | Защита DPA и блокируемые начальные биты | Ключи привязки к операционной системе |
T2 | Шифрование и аутентификация | EEPROM | Защита DPA и блокируемые начальные биты | Ключи привязки к операционной системе |
M1–M4 | Шифрование, аутентификация и механизм антиповтора | Компонент защищенного хранилища 2‑го поколения | Защита DPA и блокируемые начальные биты | Ключи привязки к операционной системе и монитор загрузки |