Secure enclave что это
Специалист по инфобезу взломал криптографическую защиту Apple Secure Enclave
На днях стало известно, что специалист по информационной безопасности с ником xerub смог получить доступ к защите Secure Enclave. Хакер уже выложил соответствующий ключ дешифровки, при помощи которого другие эксперты смогут в подробностях изучить особенности криптографической защиты устройств Apple. «Любой человек теперь может просмотреть и потыкать в SEP», — заявил xerub.
Корпорация Apple пока что не подтвердила аутентичность ключа, выложенного хакером. Тем не менее, представители компании уже заявили, что даже если это и так, данные пользователей гаджетов компании не окажутся под угрозой.
Secure Enclave — технология, являющаяся частью процессора устройств, оснащенных датчиком Touch ID. Сам датчик не хранит никаких изображений отпечатков пальцев. Вместо этого он сохраняет их математические представления. По мнению представителей Apple, из математического представления нельзя получить реальное изображение отпечатка. Но для того, чтобы избежать даже малейшей возможности сделать это стороннему лицу, компания и создала Secure Enclave. Данные обо всех отпечатках шифруются и защищаются ключом, который доступен только для Secure Enclave. Используются они лишь этой системой для проверки совпадения отпечатка с сохраненными данными. Она (система) отделена от остальной части процессора и самой операционной системой. Так что данные, которые находятся в хранилище, не могут быть использованы iOS и любыми другими программами, которые сохранены на серверах Apple и скопированы в iCloud или другие хранилища.
Другие специалисты по информационной безопасности уверены, что получение доступа к Secure Enclave все же делает устройства Apple уязвимыми для взломщиков, чтобы там ни говорила корпорация Apple. «Надеюсь, Apple будет работать над тем, чтобы усилить защиту пользователей, раз скрыть SEP уже нельзя», — заявил xerub.
К сожалению, он не раскрыл методы, использовавшиеся для дешифрования ключа защиты. Также он ничего не сказал относительно того, найдены ли какие-то уязвимости в системе SEP или нет.
«По моему мнению, здесь нет ничего ужасного», — высказал мнение Патрик Уардл (Partick Wardle), глава отдела по кибербезопасности в Synack и основатель Objective-See. «Это лишь означает, что специалисты по инфобезу и да, хакеры, теперь смогут анализировать прошивку на предмет наличия багов. Раньше она была зашифрована, так что ничего нельзя было поделать. Но теперь защита менее сильная, так что сторонние пользователи смогут анализировать ПО».
Вопрос о том, может ли xerub каким-либо образом использовать ключ дешифрования для эксплуатации каких-либо уязвимостей (в том случае, если они есть) остается открытым. Кроме того, еще один важный вопрос — сможет ли Apple решить проблему и разработать новый ключ шифрования для Secure Enclave.
До настоящего момента информации об этой технологии было не так уже и много. Компания рассказывала о ней, но не раскрывала основных деталей. В прошлом году группа специалистов по кибербезопасности выступила с докладом об этой защите. Эксперты многое узнали, но многое осталось скрытым. Сейчас же никакой тайны уже нет. Остается подождать реакции Apple и дальнейших действий как компании, так и сторонних специалистов, включая взломщиков.
TouchID впервые появилась в iPhone 5S и iPad Air 2. При помощи отпечатка пальца пользователи могут не только разблокировать свои телефоны, но и подтверждать транзакции в различных программах, включая Apple Pay, Apple App Store, iBooks и других приложениях.
И еще немного о взломе
На этом неприятности Apple не заканчиваются. Еще одна группа специалистов смогла найти новый способ обхода защиты заблокированных паролем телефонов. Этот метод взлома показал автор Youtube канала EverythingApplePro.
Apple объявила войну хакерам, а потом передумала
Долгое время взломать iPhone было невозможно. В результате такое понятие, как джейлбрейк, практически исчезло из обихода пользователей iOS. Это пошло Apple на пользу. Во-первых, доморощенные хакеры перестали демонстрировать ей своё превосходство, а, во-вторых, клиенты смекнули, что получить бесплатный софт больше негде и пора бы уже приучиться покупать его за деньги. Тем не менее, этим летом разработчики компании, сами того не ведая, открыли в iOS 12.4 критическую уязвимость, которая позволила не только взломать эту версию ОС, но и, по сути, стала ключом ко взлому всех последующих сборок. Радовало в этой ситуации то, что взломать Secure Enclave было нельзя. По крайней мере, до недавнего времени.
Secure Enclave — это защищённый чип, который хранит пароли, биометрию и другие зашифрованные данные. А теперь его расшифровали
Читайте также: Пользователям iOS 13 угрожает фальшивый джейлбрейк
Исследователь в области безопасности, известный под псевдонимом Siguza, опубликовал у себя в Твиттере ключ дешифровки, позволяющий получить доступ к информации из участка Secure Enclave в iPhone 11, который хранит в себе пароли, биометрию и другие зашифрованные данные. Тем самым он открыл возможность всем желающим изучить особенности криптографической защиты устройств Apple, а при наличии соответствующих познаний и навыков – получить доступ к другим защитным механизмам гаджетов компании.
Зачем Apple потребовала удалить твит
Этот код позволяет изучить систему шифрования iPhone и даже взломать его
Само собой, допустить этого в Купертино не могли, а потому обратились к руководству Твиттера с требованием удалить твит, сославшись на положения Закона об авторском праве США. Долго ждать реакции не пришлось. Социальная сеть быстро стёрла неугодное сообщение, но поскольку оно успело распространиться ещё и среди пользователей Reddit, компании пришлось обращаться и к этой площадке. Само собой, это вызвало волну недовольства в сообществе джейлбрейкеров и исследователей в области безопасности, которые сочли действия Apple покушением на свободу слова.
«Они только что полностью потеряли своё преимущество в битве за джейлбрейк на iPhone X и более новых моделях. Логично, что теперь Apple будет пытаться продолжать сражение в правовом поле. Таким образом в компании хотят заставить нас тратить наше время, деньги и другие ресурсы на противостояние с ней, потому что — будем честны — у неё гораздо больше рычагов влияния, с помощью которых они могут помешать нам и дальше заниматься тем, чем мы занимаемся», — заявил создатель джейлбрейка Pwn20wnd.
Apple сдалась хакерам?
Впрочем, через несколько дней твит появился снова. Как сообщил Motherboard, это произошло, потому что Apple повторно обратилась к руководству Твиттера с просьбой вернуть исходную публикацию. Почему – остаётся загадкой. Возможно, в Купертино и вправду решили, что таким образом душат свободу слова, за которую сами же и радеют, а может быть, первоначальные опасения компании попросту не сбылись, а потому она приняла решение, что бесполезный (конечно, если он бесполезный) ключ шифрования, преданный огласке, не нанесёт безопасности её устройств никого вреда.
Читайте также: Для watchOS 5 выйдет джейлбрейк. Но зачем?
В последнее время Apple довольно сильно ужесточила свою политику в отношении исследователей в области безопасности. Несмотря на то что она собственноручно раздала нескольким экспертам незащищённые iPhone, чтобы те занимались поисками аппаратных багов и уязвимостей, этим летом юристы компании подали в суд на стартап Corellium, занимающийся взломами iOS. Это было крайне неожиданно, учитывая, что раньше Apple никогда не пыталась подавить деятельность хакеров правовыми методами, а старалась просто совершенствовать защиту своих устройств.
Сертификация безопасности для процессора Secure Enclave
Вводная информация о сертификации Secure Enclave
В 2020 и 2021 годах Apple выполняла проверку на соответствие стандарту FIPS 140-3, а также дополнительную деятельность в отношении гарантий безопасности с подтверждением уровня безопасности 3 согласно требованиям к физической безопасности следующих чипов Apple: чипы A13, A14, S6 и M1.
Apple также активно участвует в проверке модулей Corecrypto User и Corecrypto Kernel для каждого основного выпуска операционных систем. Проверка на соответствие может быть выполнена только для окончательной версии.
Статус проверки криптографических модулей
Статус проверки криптографических модулей в программе проверки криптографических модулей (CMVP) указывается в трех отдельных списках в зависимости от текущего статуса.
Чтобы модуль попал в список компонентов, переданных на тестирование, у лаборатории должен быть заключен контракт с Apple на проведение тестирования.
После того как лаборатория завершила тестирование модуля, порекомендовала его проверку по программе CMVP и были оплачены взносы CMVP, модуль добавляется в список проверяемых модулей. В списке проверяемых модулей отображается статус проверки по программе CMVP. Это может быть один из четырех этапов, которые перечислены далее.
Ожидается проверка. Ожидание назначения ресурсов CMVP.
Выполняется проверка. Ресурсы CMVP выполняют требуемые действия по проверке.
Согласование. Лаборатория и CMVP устраняют любые обнаруженные проблемы.
Завершение. Действия и официальные процедуры, связанные с выдачей сертификата.
После проверки по программе CMVP модули получают сертификат соответствия и добавляются в список проверенных криптографических модулей. Список содержит модули с указанными далее статусами:
проверяемые модули отмечаются как текущие;
через 5 лет модулям присваивается архивный статус;
в случае отзыва сертификата модуля по какой-либо причине сертификату присваивается статус отозванного.
В 2020 г. в рамках программы CMVP международный стандарт ISO/IEC 19790 был принят в качестве основы для FIPS 140-3.
Сертификаты FIPS 140-3
Текущий статус
В следующей таблице показаны криптографические модули за 2020 г. и 2021 г., которые в настоящее время проходят лабораторное тестирование на соответствие стандарту FIPS 140-3.
Безопасное хранилище ключей для выпусков операционных систем 2020 и 2021 года прошло лабораторное тестирование и было рекомендовано лабораторией для проверки по программе CMVP. Оно содержится в списке проверяемых модулей и после проверки будет перенесено в список проверенных криптографических модулей.
Пространство пользователя, пространство ядра и безопасное хранилище ключей iOS 15 (2021 г.) проходят лабораторное тестирование. Они находятся в списке компонентов, переданных на тестирование.
Информация о модуле
Дата выпуска операционной системы: 2021
Сертификаты: сертификаты пока не получены
Название: модуль Apple Corecrypto версии 12
Операционная система: sepOS, распространяемая с iOS, iPadOS, macOS, tvOS и watchOS, выпущенными в 2021 году
Среда: чип Apple, безопасное хранилище ключей, аппаратное обеспечение
Тип: аппаратное обеспечение (A9-A14, T2, M1, S3-S6)
Уровень общей безопасности: 2
Дата выпуска операционной системы: 2021
Сертификаты: сертификаты пока не получены
Название: модуль Apple Corecrypto версии 11.1
Операционная система: sepOS, распространяемая с iOS, iPadOS, macOS, tvOS и watchOS, выпущенными в 2021 году
Среда: чип Apple, безопасное хранилище ключей, аппаратное обеспечение
Тип: аппаратное обеспечение (A13, A14, S6, M1)
Уровень общей безопасности: 2
Уровень физической безопасности: 3
Дата выпуска операционной системы: 2020
Сертификаты: сертификаты пока не получены
Название: модуль Apple Corecrypto версии 11.1
Операционная система: sepOS, распространяемая с iOS, iPadOS, macOS, tvOS и watchOS, выпущенными в 2020 году
Среда: чип Apple, безопасное хранилище ключей, аппаратное обеспечение
Тип: аппаратное обеспечение (A9-A14, T2, M1, S3-S6)
Уровень общей безопасности: 2
Дата выпуска операционной системы: 2020
Сертификаты: сертификаты пока не получены
Название: модуль Apple Corecrypto версии 11.1
Операционная система: sepOS, распространяемая с iOS, iPadOS, macOS, tvOS и watchOS, выпущенными в 2020 году
Среда: чип Apple, безопасное хранилище ключей, аппаратное обеспечение
Тип: аппаратное обеспечение (A13, A14, S6, M1)
Уровень общей безопасности: 2
Уровень физической безопасности: 3
Сертификаты FIPS 140-2
В таблице ниже показаны криптографические модули, которые прошли лабораторное тестирование на соответствие стандарту FIPS 140-2.
Информация о модуле
Дата выпуска операционной системы: 2019
Даты проверок: 05.02.2021
Название: криптографический модуль безопасного хранилища ключей Apple версии 10.0
Операционная система: sepOS для macOS 10.15 Catalina
Тип: аппаратное обеспечение
Уровень безопасности: 2
Дата выпуска операционной системы: 2018
Даты проверок: 10.09.2019
Название: криптографический модуль безопасного хранилища ключей Apple версии 9.0
Операционная система: sepOS для macOS 10.14 Mojave
Тип: аппаратное обеспечение
Уровень безопасности: 2
Дата выпуска операционной системы: 2017
Даты проверок: 10.09.2019
Название: криптографический модуль безопасного хранилища ключей Apple версии 1.0
Операционная система: sepOS для macOS 10.13 High Sierra
Тип: аппаратное обеспечение
Уровень безопасности: 2
Сертификация по общим критериям (CC)
Apple активно участвует в сертификации по общим критериям, если соответствующие профили защиты подходят для оценки функций безопасности, обеспечиваемых технологиями Apple.
Статус сертификации по общим критериям (CC)
За управление схемой США отвечает Национальное партнерство по обеспечению достоверности информации (NIAP), которое ведет список продуктов, проходящих проверку. Этот список включает продукты, которые в настоящее время проходят оценку в США в одобренной NIAP лаборатории тестирования по общим критериям (CCTL) и по которым было проведено вводное совещание (или его аналог), во время которого руководство CCEVS официально приняло продукт для оценки.
После сертификации продуктов NIAP вносит текущие действующие сертификаты в список совместимых продуктов. Через 2 года эти сертификаты проверяются на соответствие текущей политике поддержания гарантий безопасности. По истечении срока поддержания гарантий безопасности NIAP перемещает список сертификатов в список архивных продуктов.
На портале общих критериев перечислены сертификаты, которые признаны участниками Соглашения о признании общих критериев (CCRA). Портал общих критериев может поддерживать продукты в списке сертифицированных продуктов в течение 5 лет и сохраняет записи для архивных сертификатов.
В таблице ниже показаны сертификаты, которые в настоящее время проходят проверку в лаборатории или которые были сертифицированы как соответствующие общим критериям.
Сведения о передовой технологии безопасности Touch ID
Здесь вы узнаете, как технология Touch ID обеспечивает безопасность личной информации на устройствах iPhone, iPad и MacBook Pro.
На устройствах Apple хранятся многие составляющие цифровой жизни пользователей. Для защиты этой важной информации и предотвращения ее утечки всегда рекомендуется использовать защиту паролем. Технология Touch ID на iPhone, iPad и MacBook Pro позволяет вместо ввода пароля использовать во многих повседневных ситуациях отпечаток пальца. Одного касания достаточно, чтобы датчик мгновенно считал ваш отпечаток пальца и автоматически разблокировал устройство. Эту технологию можно использовать для подтверждения покупок в магазинах iTunes Store, App Store, iBooks Store, а также в сочетании с технологией Apple Pay. Разработчики могут разрешить использование Touch ID для авторизации в своих приложениях.
Передовые технологии
В Touch ID используются одни из самых передовых аппаратных и программных средств из когда-либо применяемых в устройствах Apple. Кнопка выполнена из кристалла сапфира — одного из самых чистых и прочных из доступных материалов. Он защищает датчик и выступает в роли линзы, точно фокусирующейся на пальце. Стальное кольцо, окружающее кнопку на устройствах iPhone и iPad, обнаруживает палец и отправляет датчику Touch ID команду на начало чтения отпечатка.
В датчике используется передовая емкостная сенсорная панель, позволяющая получить изображение высокого качества для мелких сегментов субэпидермальных слоев кожи. Затем Touch ID анализирует эту информацию с исключительной степенью детализации и точности. Детали отпечатка пальца распределяются по трем основным категориям — дуга, кольцо или завиток. Отмечаются детали гребешков, которые не видны человеческому глазу, и даже распознаются мелкие отклонения в направлениях гребешков, создаваемые порами и структурой краев.
Touch ID может считывать несколько отпечатков, а также распознавать поворот в диапазоне 360 градусов. Затем он создает математическое представление отпечатка и сравнивает его с сохраненными данными, чтобы найти совпадение и разблокировать ваше устройство. Сохраняется только математическое представление отпечатка, а не его реальное изображение. С каждым разом Touch ID дополняет это математическое представление, чтобы все время улучшать точность совпадений.
Меры безопасности
Каждый отпечаток пальца уникален, поэтому вероятность совпадения даже мельчайших областей разных отпечатков в Touch ID крайне мала. Она составляет всего 1:50 000 для одного сохраненного отпечатка. При этом Touch ID допускает только пять неуспешных попыток считывания отпечатка, а затем переходит к запросу пароля. Для сравнения, вероятность угадывания типичного кода-пароля, состоящего из четырех цифр — 1 к 10 000. К тому же некоторые коды проще угадать (например, 1234), но не существует легко угадываемых отпечатков пальцев.
Для того чтобы начать использование Touch ID, необходимо вначале включить защиту паролем на устройстве iPhone, iPad или MacBook Pro. Этот пароль вводится как дополнительная мера защиты в следующих случаях:
Для повышения безопасности можно задать длинный и сложный пароль, состоящий из букв и цифр. На устройстве iPhone или iPad нажмите «Параметры код-пароля» и выберите пункт «Произвольный код (буквы + цифры)».
В случае потери или кражи устройства функцию Touch ID можно отключить в режиме пропажи программы «Найти iPhone», чтобы предотвратить ее использование для разблокировки устройства. Начиная с ОС iOS 7, на устройстве iPhone и iPad возможна дополнительная защита от кражи с помощью блокировки активации, требующей ввести Apple ID и пароль, чтобы отключить функцию «Найти iPhone», удалить данные или повторно активировать устройство. В случае потери или кражи ноутбука MacBook Pro с датчиком Touch ID при удалении данных на расстоянии также будет отключена функция Touch ID.
Технологию Touch ID можно использовать вместо ввода пароля Apple ID для совершения покупок в магазинах iTunes Store, App Store и iBooks Store.
Touch ID может обеспечивать нужный уровень безопасности и при использовании ноутбука MacBook Pro несколькими пользователями. В каждой учетной записи пользователя можно зарегистрировать до трех отпечатков пальцев, а всего в системе можно зарегистрировать только пять отпечатков.
Secure Enclave
Микросхема устройства включает в себя передовую технологию безопасности под названием Secure Enclave, разработанную для защиты данных паролей и отпечатков. Touch ID не хранит изображений отпечатков пальцев, а использует только их математические представления. Из такого представления невозможно получить настоящее изображение отпечатка.
Данные об отпечатках шифруются, сохраняются на устройстве и защищаются ключом, доступным только для Secure Enclave. Они используются исключительно системой Secure Enclave и только для проверки совпадения отпечатка с сохраненными данными. К ним невозможно получить доступ из операционной системы или каких-либо запущенных на ней программ. Данные никогда не передаются на серверы Apple, не подвергаются резервному копированию с помощью iCloud или другой службы и не могут быть сверены ни с какими другими базами данных отпечатков.
Дополнительная информация
Узнайте, как пользоваться технологией Touch ID на устройствах iPhone и iPad или на компьютере MacBook Pro.
Узнайте, что делать в случае потери или кражи устройства.
Что такое «Secure Enclave» от Apple и как он защищает мой iPhone или Mac?
iPhone и Mac с Touch ID или Face ID используют отдельный процессор для обработки вашей биометрической информации. Он называется Secure Enclave, это, по сути, целый компьютер сам по себе, и он предлагает множество функций безопасности.
Secure Enclave загружается отдельно от остальной части вашего устройства. Он запускает собственное микроядро, которое напрямую недоступно для вашей операционной системы или каких-либо программ, запущенных на вашем устройстве. Имеется 4 МБ флэш-памяти, которая используется исключительно для хранения 256-битных закрытых ключей с эллиптической кривой. Эти ключи уникальны для вашего устройства и никогда не синхронизируются с облаком и даже не видны напрямую основной операционной системе вашего устройства. Вместо этого система просит Secure Enclave расшифровать информацию с помощью ключей.
Почему существует безопасный анклав?
Стоит отметить, что сама ваша биометрическая информация не хранится в Secure Enclave; 4 МБ недостаточно для хранения всех этих данных. Вместо этого в Enclave хранятся ключи шифрования, используемые для блокировки этих биометрических данных.
Сторонние программы также могут создавать и хранить ключи в анклаве для блокировки данных, но приложения никогда не имеют доступа к самим ключам. Вместо этого приложения запрашивают Secure Enclave для шифрования и дешифрования данных. Это означает, что любую информацию, зашифрованную с помощью Enclave, невероятно сложно расшифровать на любом другом устройстве.
Процитируем документацию Apple для разработчиков:
Когда вы храните закрытый ключ в Secure Enclave, вы фактически никогда не обрабатываете его, что затрудняет его взлом. Вместо этого вы даете команду Secure Enclave создать ключ, надежно сохранить его и выполнить с ним операции. Вы получаете только результат этих операций, такой как зашифрованные данные или результат проверки криптографической подписи.
Также стоит отметить, что Secure Enclave не может импортировать ключи с других устройств: он предназначен исключительно для создания и использования ключей локально. Это очень затрудняет расшифровку информации на любом устройстве, кроме того, на котором она была создана.
Подождите, а разве The Secure Enclave не взломали?
Летом 2017 года хакеры-энтузиасты заявили, что им удалось расшифровать прошивку Secure Enclave, что потенциально позволило им понять, как работает анклав. Мы уверены, что Apple предпочла бы, чтобы этой утечки не произошло, но стоит отметить, что хакеры еще не нашли способ получить ключи шифрования, хранящиеся в анклаве: они расшифровали только саму прошивку.
Очистите анклав перед продажей Mac
Ключи в Secure Enclave на вашем iPhone стираются при восстановлении заводских настроек. Теоретически их также следует удалить при переустановка macOS, но Apple рекомендует очистить Secure Enclave на Mac, если вы использовали что-либо, кроме официального установщика macOS.