การปกป้องข้อมูลในอุปกรณ์ Apple
บนอุปกรณ์ Apple ที่มีการปกป้องข้อมูล แต่ละไฟล์จะได้รับการปกป้องด้วยกุญแจรายไฟล์ (หรือรายขอบเขต) ที่ไม่ซ้ำกัน กุญแจที่ถูกห่อโดยใช้อัลกอริทึมการห่อกุญแจ NIST AED จะถูกห่อเพิ่มเติมด้วยหนึ่งในกุญแจคลาสหลายรายการ ทั้งนี้ขึ้นอยู่กับวิธีเข้าถึงไฟล์ตามปกติ จากนั้นกุญแจรายไฟล์ที่ถูกห่อจะจัดเก็บไว้ในเมตาดาต้าของไฟล์
อุปกรณ์ที่ใช้รูปแบบระบบไฟล์ APFS อาจจะรองรับการโคลนของไฟล์ (สำเนาที่ไม่มีค่าใช้จ่ายใดๆ โดยใช้เทคโนโลยีการเขียนไฟล์แบบ Copy-on-write) ถ้าไฟล์ถูกโคลน โคลนแต่ละครึ่งจะได้รับกุญแจใหม่เพื่อยอมรับการเขียนที่จะเกิดขึ้น ข้อมูลใหม่จึงถูกเขียนไปที่สื่อด้วยกุญแจใหม่ เมื่อเวลาผ่านไป ไฟล์อาจประกอบด้วยขอบเขตหลายอย่าง (หรือหลายส่วน) โดยแต่ละขอบเขตจะเทียบผังเข้ากับกุญแจที่แตกต่างกัน อย่างไรก็ตาม ขอบเขตทั้งหมดที่รวมถึงไฟล์จะได้รับการป้องกันโดยคลาสกุญแจเดียวกัน
เมื่อเปิดไฟล์ เมตาดาต้าของไฟล์นั้นจะถูกถอดรหัสด้วยกุญแจระบบไฟล์ โดยเปิดเผยกุญแจรายไฟล์ที่ถูกห่ออยู่และสัญลักษณ์ที่บอกว่าปกป้องด้วยคลาสใด กุญแจรายไฟล์ (หรือรายขอบเขต) จะถูกแกะห่อด้วยคลาสกุญแจ จากนั้นส่งมอบให้กับกลไก AES ของฮาร์ดแวร์ ซึ่งจะถอดรหัสไฟล์ตามที่มีการอ่านจากพื้นที่จัดเก็บข้อมูลแบบแฟลช การจัดการกุญแจไฟล์ที่ถูกห่อทั้งหมดจะเกิดขึ้นใน Secure Enclave โดยจะไม่เปิดเผยกุญแจไฟล์ให้กับหน่วยประมวลผลแอปพลิเคชัน เมื่อเริ่มต้นระบบ Secure Enclave จะเจรจาขอกุญแจชั่วคราวกับกลไก AES เมื่อ Secure Enclave แกะห่อกุญแจของไฟล์ กุญแจจะถูกห่ออีกครั้งด้วยกุญแจชั่วคราวและถูกส่งกลับไปที่หน่วยประมวลผลแอปพลิเคชัน
เมตาดาต้าของไฟล์ทั้งหมดในระบบไฟล์ดิสก์โวลุ่มข้อมูลจะเข้ารหัสด้วยกุญแจดิสก์โวลุ่มแบบสุ่ม ซึ่งถูกสร้างขึ้นเมื่อติดตั้งระบบปฏิบัติการเป็นครั้งแรกหรือเมื่อผู้ใช้ลบข้อมูลอุปกรณ์ กุญแจนี้จะถูกเข้ารหัสและห่อด้วยกุญแจการห่อกุญแจที่มีเพียง Secure Enclave เท่านั้นที่รู้จักสำหรับการจัดเก็บข้อมูลระยะยาว กุญแจการห่อกุญแจจะเปลี่ยนไปทุกครั้งที่ผู้ใช้ลบข้อมูลอุปกรณ์ บน A9 SoC (และเวอร์ชั่นที่ใหม่กว่า) Secure Enclave จะใช้ Entropy ซึ่งสนับสนุนโดยระบบป้องกันการเล่นซ้ำเพื่อให้สามารถลบออกได้ และเพื่อปกป้องกุญแจการห่อกุญแจที่มีอยู่ในแอสเซทอื่นๆ โปรดดูที่ พื้นที่จัดเก็บข้อมูลแบบถาวรที่ปลอดภัย สำหรับข้อมูลเพิ่มเติม
เช่นเดียวกับกุญแจรายไฟล์หรือรายขอบเขต กุญแจเมตาดาต้าของดิสก์โวลุ่มข้อมูลจะไม่เปิดเผยกุญแจไฟล์ให้กับหน่วยประมวลผลแอปพลิเคชันโดยตรง Secure Enclave จะให้เวอร์ชั่นรายบูตแบบชั่วคราวแทน เมื่อจัดเก็บ กุญแจระบบไฟล์ที่เข้ารหัสจะถูกห่อเพิ่มเติมด้วย “กุญแจที่ลบได้” ที่จัดเก็บอยู่ในพื้นที่จัดเก็บข้อมูลที่ลบได้หรือโดยใช้กุญแจการห่อกุญแจสื่อ ซึ่งปกป้องโดยกลไกการป้องกันการเล่นซ้ำของ Secure Enclave กุญแจนี้จะไม่มีการรักษาความลับของข้อมูลให้เพิ่มเติม แต่ออกแบบมาให้ลบได้อย่างรวดเร็วตามคำร้องขอ (เมื่อผู้ใช้เลือกตัวเลือก “ลบข้อมูลเนื้อหาและการตั้งค่าทั้งหมด” หรือเมื่อผู้ใช้หรือผู้ดูแลระบบออกคำสั่งล้างข้อมูลระยะไกลจากโซลูชั่นการจัดการอุปกรณ์เคลื่อนที่ (MDM), Microsoft Exchange ActiveSync หรือ iCloud) การลบกุญแจในลักษณะนี้จะทำให้ไฟล์ทั้งหมดไม่สามารถเข้าถึงได้แบบเข้ารหัส
เนื้อหาของไฟล์อาจมีการเข้ารหัสด้วยกุญแจรายไฟล์ (หรือรายขอบเขต) อย่างน้อยหนึ่งรายการ ซึ่งจะห่อด้วยคลาสกุญแจและจัดเก็บในเมตาดาต้าของไฟล์ ซึ่งเข้ารหัสด้วยกุญแจระบบไฟล์ คลาสกุญแจได้รับการปกป้องด้วยค่า UID ฮาร์ดแวร์ และสำหรับบางคลาสก็จะได้รับการปกป้องด้วยรหัสของผู้ใช้ ลำดับชั้นนี้ให้ทั้งความยืดหยุ่นและการทำงานที่ดี ตัวอย่างเช่น การเปลี่ยนคลาสของไฟล์จำเป็นต้องห่อซ้ำเฉพาะกุญแจรายไฟล์เท่านั้น และการเปลี่ยนรหัสจะห่อคลาสกุญแจซ้ำ