Oversikt over maskinvaresikkerhet
For at programvare skal være sikker, må den støtte seg på maskinvare med innebygd sikkerhet. Det er derfor Apple-enheter som kjører iOS, iPadOS, macOS, tvOS eller watchOS, har sikkerhetsfunksjoner integrert i chipene. Disse funksjonene inkluderer en prosessor som driver systemsikkerhetsfunksjoner, i tillegg til kretser som er dedikert til sikkerhetsfunksjoner. Sikkerhetsfokusert maskinvare følger prinsippet om å støtte begrensede og tydelig definerte funksjoner for å kunne minimere angrepsflaten. Slike komponenter inkluderer en oppstart-ROM, som danner en «root of trust» i maskinvaren for sikker oppstart, dedikerte AES-motorer for effektiv og sikker kryptering og dekryptering samt en Secure Enclave. Secure Enclave er en komponent på Apple System on Chip (SoC) som er inkludert på alle nyere iPhone-, iPad-, Apple Watch-, Apple TV- og HomePod-enheter, på Macer med Apple-chip og på Macer med Apple T2-sikkerhetsbrikken. Selve Secure Enclave følger samme designprinsipp som SoC-en gjør, med egen oppstart-ROM og AES-motor. Secure Enclave danner også grunnlaget for sikker generering og lagring av nøklene som er nødvendig for å kryptere lagrede data, og den beskytter og evaluerer de biometriske dataene for Face ID og Touch ID.
Lagringskryptering må være raskt og effektivt. Samtidig kan det ikke eksponere data (eller nøkkelmaterialet) som brukes til å etablere kryptografiske nøkkelforhold. AES-maskinvaremotoren løser dette problemet ved å utføre rask, integrert kryptering og dekryptering når filer skrives eller leses. En spesialkanal fra Secure Enclave gir nødvendig nøkkelmateriale til AES-motoren uten å eksponere denne informasjonen for applikasjonsprosessoren (eller prosessoren) eller hele operativsystemet. Dette bidrar til å sikre at Apple-teknologiene databeskyttelse og FileVault beskytter brukernes filer uten å avsløre krypteringsnøkler med lang levetid.
Apple har designet sikker oppstart for å beskytte de laveste nivåene av programvare mot å tukles med, og at kun godkjent operativsystemprogramvare fra Apple lastes inn ved oppstart. Sikker oppstart starter i uforanderlig kode som kalles oppstart-ROM, som implementeres under produksjon av Apple SoC-en og er kjent som maskinvarens root of trust. På Macer med en T2-brikke, starter godkjenning for sikker macOS-oppstart med T2-brikken. (Både T2-brikken og Secure Enclave kjører i tillegg sine egne sikre oppstartsprosesser ved hjelp av sin egen atskilte oppstart-ROM. Dette er en nøyaktig parallell til hvordan sikker oppstart utføres på brikkene i A-serien og M1- og M2-brikkene.)
Secure Enclave behandler også ansiktsinformasjon og fingeravtrykk fra Face ID- og Touch ID-sensorer i Apple-enheter. Dette sørger for sikker autentisering samtidig som biometriske data er beskyttet. Dette gjør også at brukere kan dra nytte av sikkerheten til lengre og mer komplekse koder og passord i kombinasjon med rask autentisering for tilgang eller kjøp.