Protezione delle chiavi nelle modalità di avvio alternative
La protezione dei dati è progettata in modo da fornire accesso ai dati dell’utente solo dopo una corretta autenticazione e solo all’utente autorizzato. Le classi di protezione dati sono progettate per supportare una vasta gamma di casi, come l’abilità di leggere e scrivere alcuni dati anche quando un dispositivo è bloccato (ma in seguito a un primo sblocco). Per proteggere l’accesso ai dati dell’utente durante modalità di avvio alternative come la modalità DFU, la modalità di recupero, la modalità di diagnosi Apple o persino durante gli aggiornamenti software, vengono implementati dei passaggi aggiuntivi. Tali funzionalità si basano su una combinazione di caratteristiche hardware e software e sono state ampliate di pari passo con l’evoluzione dei chip progettati da Apple.
Funzionalità | A10 | A11 - A17 S3 - S9 M1, M2, M3 |
Recupero: tutte le classi di protezione dati |
|
|
Avvii alternativi per modalità DFU, modalità di recupero e aggiornamenti software: classi di protezione dati A, B e C |
|
|
Il motore AES di Secure Enclave è dotato di bit seed del software bloccabili. Quando le chiavi vengono create dall’UID, questi bit seed vengono inclusi nella funzione di derivazione della chiave per creare gerarchie di chiave aggiuntive. Il modo in cui il bit seed viene usato varia a seconda dei SoC:
A partire dai SoC Apple A10 e S3, un bit seed serve a distinguere quali chiavi sono protette dal codice di accesso dell’utente. Il bit seed è impostato per le chiavi che richiedono il codice dell’utente (incluse le chiavi per le classi di protezione dati A, B e C), mentre viene azzerato per le chiavi che non richiedono il codice dell’utente (incluse la chiave per i metadati del file system e le chiavi per la classe D).
Quando i dispositivi con chip A10 o modelli successivi che eseguono iOS 13 o versioni successive e iPadOS 13.1 o versioni successive vengono avviati in modalità di diagnosi, tutti i dati dell’utente sono resi crittograficamente inaccessibili. Questo risultato è possibile grazie all’uso di un bit seed aggiuntivo configurato per gestire la possibilità di accedere alla chiave multimediale, necessaria per accedere ai metadati (e quindi ai contenuti di tutti i file) sul volume di dati codificato tramite la protezione dei dati. Questo tipo di protezione include tutti i file protetti di tutte le classi (A, B, C e D), non solo quelli per cui è necessario il codice dell’utente.
Sul processore A12, la ROM di avvio di Secure Enclave blocca il bit seed del codice se il processore per le applicazioni è entrato in modalità DFU o Modalità di recupero. Quando il bit seed del codice è bloccato, non è consentita nessuna operazione che possa modificarlo. Questo meccanismo è progettato per impedire l’accesso a dati protetti con il codice dell’utente.
Il ripristino di un dispositivo in seguito all’attivazione della modalità DFU consente di riportarlo a uno stato sicuramente funzionante, con la certezza che contenga solo codice firmato da Apple e non modificato. La modalità DFU può essere attivata manualmente.
Consulta i seguenti articoli del supporto Apple per informazioni sul modo in cui far entrare un dispositivo in modalità DFU:
Dispositivo | Articolo del supporto Apple |
|---|---|
iPhone, iPad | |
Apple TV | |
Un Mac dotato di chip Apple |