Wat is de Secure Enclave van de iPhone?
Een kleine, aparte computer in je iPhone die sleutels bewaart en ze nooit afgeeft.
In het kort
De Secure Enclave is een speciaal beveiligingssubsysteem dat sinds de iPhone 5s in de chip van de iPhone zit, afgeschermd van de hoofdprocessor. Hij beschermt de gegevens van Face ID en Touch ID en de sleutels achter de versleuteling van je iPhone, en is ontworpen om die veilig te houden, zelfs als het hoofdbesturingssysteem gecompromitteerd is. Apps kunnen hem vragen sleutels te maken en te gebruiken, maar kunnen die sleutels nooit uitlezen.
Om te onthouden
- Een eigen processor, beschermd geheugen en een beveiligd opstartproces.
- Hij helpt de limiet op het aantal codepogingen af te dwingen.
- Apps kunnen sleutels erin gebruiken, maar niet eruit halen.
Een computer in de computer
De hoofdprocessor van je iPhone draait iOS en elke app. De Secure Enclave staat daar los van: een eigen processor met een eigen klein besturingssysteem, en geheugen dat versleuteld en geverifieerd is, zodat de rest van de chip het niet kan lezen of manipuleren. Apple beschrijft hem als ontworpen om gevoelige gegevens veilig te houden, zelfs als de iOS-kernel gecompromitteerd is.
Hij zit in elke iPhone vanaf de iPhone 5s, en in de iPad, Macs met Apple silicon, de Apple Watch en andere Apple apparaten.
Wat hij beschermt
- De gegevens van Face ID en Touch ID, die in de Secure Enclave worden verwerkt en beschermd en aan je apparaat gekoppeld zijn.
- De sleutels achter de gegevensbescherming. De sleutelhiërarchie achter de bestandsversleuteling van je iPhone omvat een unieke sleutel die bij de productie in de chip wordt gebrand, en die volgens Apple niet beschikbaar is voor Apple of zijn leveranciers.
- Je toegangscode. Ontgrendelpogingen lopen via de Secure Enclave; op recente apparaten telt een speciaal beveiligd opslagonderdeel ze, en wist het de beschermde gegevens zodra de limiet is overschreden, bijvoorbeeld 10 pogingen op de iPhone.
Sleutels die je kunt gebruiken maar niet kunt zien
Het kernidee is eenvoudig. De Secure Enclave heeft een eigen versleutelingsengine waarvan de hardwaresleutels binnen blijven, buiten bereik zelfs van de eigen software van de Secure Enclave. De rest van het systeem kan hem vragen iets te versleutelen of te ontsleutelen en krijgt het resultaat terug, maar kan nooit om de sleutel zelf vragen.
Wat apps ermee kunnen
Apps kunnen de Secure Enclave vragen een privésleutel te maken en te bewaren. De app heeft die sleutel nooit in leesbare vorm: hij stuurt gegevens naar binnen en krijgt de uitkomst terug, zoals een handtekening of het resultaat van een sleuteluitwisseling die voor versleuteling wordt gebruikt. Een app kan ook Face ID, Touch ID of de toegangscode vereisen voordat de sleutel gebruikt mag worden. De ontwikkelaarsdocumentatie van Apple noemt de beperkingen:
- Eén soort sleutel: 256-bits sleutels op een elliptische curve (NIST P-256), gebruikt voor handtekeningen en sleutelafspraak, en via die weg voor versleuteling.
- Geen import: sleutels moeten in de Secure Enclave zelf worden gemaakt. Een leesbare sleutel naar binnen of naar buiten verplaatsen kan niet.
- Eén apparaat: alleen de Secure Enclave die een sleutel heeft gemaakt, kan hem gebruiken.
Wat hij niet doet
De Secure Enclave beschermt sleutels, niet wat er op het scherm staat. Is je iPhone ontgrendeld, dan lezen apps hun gegevens gewoon, en iedereen met de ontgrendelde telefoon in handen ziet wat die apps tonen. En omdat zijn sleutels het apparaat nooit verlaten, kunnen gegevens die alleen door die sleutels worden beschermd niet mee naar een nieuwe iPhone: een app die op de Secure Enclave steunt, heeft een aparte, veilige manier nodig om te herstellen.
Hoe Latent hem gebruikt
Latent beschermt elke kluissleutel met een sleutel in de Secure Enclave, die met je patroon of wachtwoord wordt ontgrendeld. Wie de bestanden van de app van de telefoon kopieert, krijgt versleutelde gegevens en verder niets. Omdat die sleutel je iPhone niet kan verlaten, herstel je een kluis op een nieuwe iPhone in plaats daarvan met je herstelzin van negen woorden.