Appleプラットフォームのセキュリティ
安全なiCloudキーチェーン復元
iCloudキーチェーンは、Appleがパスワードおよびその他のデータを読み取れるようにすることなく、キーチェーンをAppleにエスクロー（預託）します。ユーザは、デバイスを1つしか持っていない場合でも、キーチェーン復元によってデータの損失を防止できます。これは、Safariを使ってWebのアカウント用にランダムで強力なパスワードまたはパスキーを生成する場合に特に重要です。これらのパスワードの記録はキーチェーンにしか残らないためです。
キーチェーン復元は、この機能をサポートするためにAppleが開発した二次認証と安全なエスクローサービスによって実現されます。ユーザのキーチェーンは強力なパスコードを使って暗号化され、条件が厳密に満たされた場合にのみ、エスクローサービスからキーチェーンのコピーが提供されます。
二次認証を使用する
強力なパスコードを確立する方法は複数あります:
そのユーザのアカウントで2ファクタ認証が有効になっている場合、エスクローしたキーチェーンがデバイスのパスコードを使って復元されます。
2ファクタ認証が設定されていない場合、ユーザは6桁のパスコードを指定してiCloudセキュリティコードを作成するよう求められます。または、2ファクタ認証を使用せずに、ユーザが独自の、長いコードを指定したり、暗号の仕組みによるランダムなコードをデバイスに作成させて、それを自分で記録して保管したりすることもできます。
キーチェーンのエスクロープロセス
パスコードが確立されると、キーチェーンがAppleにエスクローされます。iOS、iPadOS、またはmacOSデバイスは、まずユーザのキーチェーンのコピーを書き出したあと、非対称キーバッグにある鍵でラップして暗号化し、ユーザのiCloudのキー値ストレージ領域に保存します。キーバッグはユーザのiCloudセキュリティコードと、エスクローレコードが保存されるHSM（ハードウェアセキュリティモジュール）クラスタの公開鍵でラップされます。これがユーザのiCloudエスクローレコードになります。2ファクタ認証が有効なアカウントの場合、キーチェーンはCloudKitにも保存され、iCloudエスクローレコードの内容でのみ復元可能な中間キーにラップされるため、同じレベルの保護が提供されます。
また、エスクローレコードの内容によって、復旧中のデバイスがiCloudキーチェーンに再度参加することが許可され、復旧中のデバイスがエスクロープロセスを正常に実行したため、アカウントのオーナーによって認証されたことが既存のデバイスに証明されます。
注記: セキュリティコードの確立に加えて、ユーザはiCloudアカウントに電話番号を登録する必要があります。これにより、キーチェーン復元中に二次認証が提供されます。ユーザはSMSメッセージを受信します。復元を続行するためには、これに返信する必要があります。