Beskyttelse af nøgler ved andre startfunktioner
Databeskyttelse er beregnet til kun at give adgang til brugerdata efter godkendelse og kun til den godkendte bruger. Klasser i Databeskyttelse understøtter en række forskellige anvendelsesområder, f.eks. muligheden for at læse og skrive visse data, også når en enhed er låst (men efter at enheden er låst op første gang). Der træffes flere foranstaltninger for at beskytte brugerdata ved andre startfunktioner, f.eks. DFU-funktion (Device Firmware Update), gendannelsesfunktion og Apple-diagnosticering, og også under softwareopdatering. Disse foranstaltninger er baseret på en kombination af hardware- og softwarefunktioner og er blevet udvidet i takt med udviklingen af chips designet af Apple.
Funktion | A10 | A11–A17 S3–S9 M1, M2, M3 |
Gendannelse: Alle klasser i Databeskyttelse er beskyttet |
|
|
Start med DFU-funktion, Gendannelse og under softwareopdateringer: Data i klasse A, B og C er beskyttet |
|
|
AES-modulet i Secure Enclave er udstyret med låsbare software seed bits. Når der oprettes nøgler fra UID, inkluderes disse seed bits i funktionen til nøgleafledning for at oprette yderligere nøglehierarkier. Den måde, en seed bit bruges på, afhænger af SoC’en:
Seed bits startede på Apple A10- og S3 SoC-processorer og er dedikeret til at skelne nøgler, der er beskyttet af brugerens kode. En seed bit indstilles til nøgler, der kræver brugerens kode (herunder nøgler til databeskyttelsesklasse A, B og C), og slettes til nøgler, der ikke kræver brugerens kode (herunder nøglen til arkivsystemmetadata og nøgler til klasse D).
På enheder med A10 eller nyere og iOS 13 eller en nyere version eller iPadOS 13.1 eller en nyere version gælder, at kryptografisk adgang til alle brugerdata ophæves, når enhederne startes i Diagnosticeringsfunktion. Det opnås ved hjælp af en ekstra seed bit, hvis indstilling styrer muligheden for at få adgang til medienøglen, som er nødvendig for at få adgang til metadata (og dermed indholdet af alle arkiver) på dataenheden, der er krypteret med databeskyttelse. Denne beskyttelse omfatter arkiver, der er beskyttet i alle klasser (A, B, C og D), og ikke kun dem, der kræver brugerens kode.
På A12 SoC'er låser Secure Enclave Boot ROM kodens seed bit, hvis app-processoren er i DFU-funktion eller Gendannelsesfunktion. Når kode-seed bit'en er låst, tillades ændringer af den ikke. Det har til formål at forhindre adgang til data, der er beskyttet af brugerens kode.
Når en enhed gendannes, efter den er skiftet til DFU-funktionen, går den tilbage til en kendt, gyldig status, hvor der er sikkerhed for, at kun umodificeret kode signeret af Apple er til stede. Det er muligt at skifte manuelt til DFU-funktionen.
Følgende Apple-supportartikler beskriver, hvordan der skiftes til DFU-funktion på en enhed:
Enhed | Apple-supportartikel |
|---|---|
iPhone, iPad | |
Apple TV | |
En Mac med Apple Silicon |