Чи відомо вам, що на комп’ютерах Apple Silicon Mac одночасно задіяно кілька операційних систем, щоб ви мали можливість на ньому працювати?
Саме через цю секретну вторинну операційну систему ви не можете оновити SSD-накопичувачі на комп’ютерах Apple Silicon Mac! Але це ще не вся історія.
В комп’ютерах Apple Silicon Mac, а також в комп’ютерах Mac, оснащених T2, iPhone, iPad і навіть у годинниках Apple використовується спеціальний апаратний компонент, відомий як захищений анклав(Secure Enclave), і це не просто маркетинговий хід.
Захищений анклав – це окремий процесор, спеціально розроблений для обробки чутливих операцій, пов’язаних з безпекою та конфіденційністю.
Однією з основних операцій захищеного анклаву(Secure Enclave) є генерація та зберігання ключів шифрування та біометричних даних, таких як Touch ID, і він повинен захищати ці дані від різних атак, таких як фізичне втручання та атаки з побічних каналів. Для цього він повинен мати власну пам’ять і сховище, а також бути ізольованим від решти системи.
Для цього йому також потрібна власна урізана операційна система, відома як Secure Enclave OS або SEPOS, доступ до якої комп’ютер може отримати лише через кілька захищених API.
Коли пароль користувача встановлюється на комп’ютері Apple Silicon Mac, він проходить через алгоритм одностороннього хешування, який генерує ключ, що використовується для шифрування ключа Secure Enclave. Це означає, що навіть якщо хтось має доступ до пароля, він не зможе отримати доступ до ключів шифрування, що зберігаються в захищеному анклаві, без співпраці із самим захищеним анклавом.
Це дуже важливо. Це означає, що будь-які зашифровані дані повинні проходити через Захищений анклав. Операційна система і користувач ніколи не бачать цей ключ шифрування і можуть лише використовувати API для взаємодії з Захищеним анклавом.
Також використовується унікальний ідентифікатор, кореневий криптографічний ключ, який називається Secure Enclave ID, що використовується для ідентифікації пристрою. Він вбудовується в захищений анклав під час виробництва, і навіть компанія Apple не має до нього доступу. Це гарантує, що ключі шифрування, які зберігаються в захищеному анклаві, можна використовувати лише на тому пристрої, на якому вони були згенеровані.
Тому, якщо ви вкрали фізичні модулі пам’яті NAND з MacBook і навіть мали ключі шифрування, це не спрацює, тому що вам все одно потрібно буде зіставити ключ шифрування з ідентифікатором Secure Enclave ID.
Це також допомагає запобігти DMA-атакам, коли зловмисник використовує пристрій з прямим доступом до пам’яті, наприклад, пристрій Thunderbolt. Пристрій Thunderbolt використовує інтерфейс PCIe, а однією з головних переваг PCIe є прямий доступ до пам’яті. MacOS шифрує свою пам’ять і використовує процесор вводу/виводу, який керує зв’язком між головним процесором і Secure Enclave. Пам’ять потрібно шифрувати і розшифровувати, і будь-який пристрій, що намагається атакувати пам’ять, отримає лише зашифровані дані. Apple називає це механізмом захисту пам’яті.
За виконання всіх цих завдань відповідає SEPOS. SEPOS розроблений таким чином, щоб бути стійким до атак, включаючи фізичне втручання, і був сертифікований за стандартом безпеки Common Criteria. Він базується на L4 Microkernel, яке є популярним для безпечних вбудованих систем, оскільки має мінімальний набір сервісів і використовує високопривілейований режим, ізольований від коду рівня користувача. Це починає звучати абстрактно, але суть в тому, що існує чітко визначений інтерфейс, а саме ядро є невеликим і сфокусованим. Таким чином, його легко аналізувати та перевіряти аналітикам з безпеки, і він має дизайн, який дозволяє створювати спеціалізовані ізольовані підсистеми. Apple взяла цю операційну систему і модифікувала її для використання в безпечному анклаві.
Це не все, що робить безпечний анклав, оскільки він робить досить багато, наприклад, справжню генерацію випадкових чисел, Secure Neural Engine, AES Engine, Secure Enclave Boot ROM, Secure Enclave Boot Monitor і таке інше. Я дуже раджу прочитати документ Apple про це. Це досить цікаво, але треба розуміти, що це технічні статті здебільшого для девелоперів та спеціалістів з безпеки.
У підсумку, якщо ви купуєте вживаний Apple Silicon Mac і користувач не вказав пароль до прошивки, то ви не зможете її скинути.
Твердотільні накопичувачі SSD та безпечний анклав
Твердотільні накопичувачі зазвичай складаються з контролера, модулів пам’яті NAND, кеш-пам’яті DRAM (на якісних твердотільних накопичувачах) та інтерфейсу.
Безпечний анклав Apple тісно інтегрований в процесор Apple, а сам контролер SSD знаходиться в Apple Silicon. Як ми вже обговорювали раніше, захищений анклав генерує апаратний ключ шифрування і використовується для шифрування вмісту NAND-пам’яті (сховища). Ключ зберігається в захищеному корпусі, а ключі виводяться з комбінації ідентифікатора захищеного корпусу та характеристик NAND-пам’яті. Коли встановлюється новий SSD, потрібно згенерувати новий ключ. Зловмисник може визначити оригінальний ключ, порівнявши новий ключ зі старим і виявивши відмінності між ними. Якби новий ключ мав інші характеристики, ніж старий, це могло б потенційно розкрити інформацію про старий ключ і поставити під загрозу безпеку. Apple також використовує власну реалізацію протоколу PCIe, а не NVMe, тому Apple довелося б також посилити безпеку для NVMe.
Зараз є впевненість, що Apple могла б знайти рішення, оскільки безпечний анклав Apple пройшов через безліч ітерацій, і на момент створення цієї статті налічував приблизно 16 версій. Apple може надати користувачам можливість змінювати твердотільні накопичувачі NVMe, які потребують знижених налаштувань безпеки, або, можливо, додаткову можливість розблокування, яке попереджає користувача про потенційну небезпеку розкриття ключа шифрування.
Secure Enclave надзвичайно потужний, коли справа доходить до безпеки, але це унеможливлює заміну накопичувачів.
Я вважаю себе поінформованим користувачем і з радістю прийняв би будь-який ризик для з’ємного накопичувача, ніж бути заблокованим в існуючому обʼємі, оскільки пам’ять NAND, з якої виготовлений SSD, має обмежений термін придатності. Комірку пам’яті на SSD можна записувати і перезаписувати лише певну кількість разів, поки вона не вийде з ладу. Контролери SSD ідентифікують та ізолюють погані зношені блоки памʼяті, зрештою, вони досягають критичної маси і SSD виходять з ладу. Заборона Apple замінювати їх означає, що в кожному комп’ютері Apple Silicon Mac вбудована бомба уповільненої дії, і кінцеві користувачі нічого не можуть зробити, щоб її виправити. Через 5-8 років, навіть якщо ваш мак виглядає як новий, батарея чи SSD не витримають. Якщо батарею ще можна буде замінити в офіційних чи сторонніх сервісах, то з поломкою накопичувача доведеться купляти новий мак або змінювати всю плату та додаткові компоненти, які до неї привʼязані за допомогою Secure Enclave.
Незважаючи на “зелений” маркетинг, Apple не має жодних докорів сумління щодо створення електронних відходів Крім того, те, що Apple постачає комп’ютери Mac базового рівня в конфігураціях з дефіцитом оперативної пам’яті та зі сміхотворно малими твердотільними накопичувачами, означає, що ОС доведеться частіше використовувати SSD для операцій обміну пам’яттю, коли оперативна пам’ять повністю заповнена. Це також скорочує термін придатності NAND.
Apple вирішила не боротися з цією проблемою, оскільки знає, що заробляє гроші незалежно від того, як це відбувається: користувач повинен сплатити Apple за завищеними цінами за збільшену кількість оперативної памʼяті та накопичувача в новому девайсі, а також мати справу із запланованим застарінням, закладеним в апаратне та програмне забезпечення. Не забуваймо, що в якийсь момент Apple припинить підтримку своїх Mac. Вона ховатиметься за безпекою, як за димовою завісою.
Тож коли ви побачите, що з’являється закон або петиція про право на ремонт, будь ласка, підтримайте його. Apple створює чудові продукти, які затьмарює їхня зневага до користувачів, які ними користуються.
