Laitteiston suojauksen yleiskatsaus
Jotta ohjelmisto olisi suojassa, sen täytyy olla suojatuksi rakennetussa laitteistossa. Siksi Applen iOS-, iPadOS-, macOS-, tvOS- ja watchOS-laitteissa on suojausominaisuuksia aivan laitteistotasolla. Näihin ominaisuuksiin kuuluvat prosessori, joka mahdollistaa järjestelmän suojausominaisuudet, sekä suojaustoiminnoille dedikoitu lisäsiru. Suojaukseen keskittyvissä laitteistokomponenteissa on periaatteena, että ne tukevat vain rajoitettuja ja erikseen määriteltyjä toimintoja hyökkäysmahdollisuuksien vähentämiseksi. Näitä komponentteja ovat Boot ROM, joka on laitteiston luottamuksen perusta suojatussa käynnistyksessä, turvalliseen salaukseen ja salauksen purkuun varatut AES-komponentit sekä Secure Enclave. Secure Enclave on komponentti Applen järjestelmäpiirissä (SoC), joka sisältyy kaikkiin uudempiin iPhone-, iPad-, Apple Watch-, Apple TV- ja HomePod-laitteisiin sekä Apple siliconilla tai Apple T2 Security -sirulla varustettuun Maciin. Itse Secure Enclave on suunniteltu samalla periaatteella kuin järjestelmäpiiri; sillä on oma erillinen Boot ROM ja AES-komponentti. Secure Enclave on myös perusta levossa olevan datan salaamisessa tarvittavien avainten suojatulle muodostamiselle ja tallennukselle, ja se suojaa ja arvioi biometriset tiedot Face ID:tä ja Touch ID:tä varten.
Tallennettujen tietojen salauksen on oltava nopeaa ja tehokasta. Samalla kuitenkin on tärkeää, että se ei paljasta tietoja (tai avainmateriaalia), joita se käyttää kryptografisten avainsuhteiden muodostamiseen. AES-laitteistokomponentti ratkaisee tämän ongelman nopealla salauksella ja salauksen purkamisella tiedostoja kirjoitettaessa tai luettaessa. AES-komponentti saa tarvitsemansa avainmateriaalin Secure Enclavelta erityistä kanavaa pitkin siten, ettei se voi paljastua appeja suorittavalle prosessorille (tai keskusprosessorille) tai käyttöjärjestelmälle. Tämä auttaa varmistamaan, että Applen tietojen suojaus- ja FileVault-teknologiat suojaavat käyttäjien tiedostoja paljastamatta pitkäaikaisia salausavaimia.
Apple on suunnitellut suojatun käynnistyksen suojaamaan ohjelmiston alimpia tasoja peukaloinnilta ja sallimaan vain Applen luotettu käyttöjärjestelmäohjelmisto latautumisen käynnistyksessä. Suojattu käynnistys alkaa muuttumattomasta koodista nimeltä Boot ROM, joka asennetaan Applen järjestelmäsiruun sen valmistuksen aikana. Tämä laitetason RoT-koodi (Root of Trust) on ehdottoman luotettava. Mac-tietokoneissa, joissa on T2-siru, macOS:n suojatun käynnistyksen luottamus alkaa T2:sta. (Sekä T2-siru että Secure Enclave suorittavat myös omat suojatut käynnistysprosessinsa käyttäen omaa erillistä Boot ROM ‑koodiaan. Tämä vastaa täsmälleen A-sarjan ja M1- ja M2-sirujen suojattua käynnistystä.)
Secure Enclave prosessoi myös Face ID:n sekä Touch ID:n tunnistinten kasvo- ja sormenjälkidatan Applen laitteissa. Tämä mahdollistaa suojatun todennuksen pitäen samalla käyttäjän biometriset tiedot yksityisinä ja suojattuina. Lisäksi käyttäjät pääsevät hyötymään pidempien ja monimutkaisempien pääsykoodien ja salasanojen tarjoamasta suojauksesta voiden samalla monissa tilanteissa nauttia kätevästä ja sujuvasta todentamisesta pääsyä tai ostoja varten.