企業網D1Net訊 3月12日（上海）

近日，蘋果發布了iOS安全白皮書，前所未有的深入介紹iOS以及iPhone，iPad的安全架構及特性。安全公司以及IT顧問都大贊蘋果的透明度以及保護iOS設備，用戶數據以及網絡安全的方式。

2013年2月的新版iOS安全白皮書共有33頁，可在網上閱讀下載。

上一版本的iOS安全白皮書于2012年秋季發布，從這時開始蘋果采取一個iOS安全性較為開放的姿態。新的文件詳細介紹了蘋果過去兩年的一些安全功能，尤其是iOS7:Touch ID指紋識別傳感器；和企業應用及服務集成的單點登錄功能；Airdrop點對點連接的安全性能；用于創建及管理復雜密碼的iCloud Keychain；集成在蘋果64位A7協處理器Secure Enclave。

安全人士以及IT人士紛紛沉浸于這些詳細的技術細節里。

洛杉磯解決方案咨詢，一家專注企業蘋果設備部署的經理本杰明列維說：“最近，我一直在閱讀這個文件。對于我來講，這份文件詳細描述了蘋果設備的安全理念以及細節。這不是馬后炮。它從處理器到系統詳細解析了設計以及運行的方方面面。”

他還舉了iPhone 5s的Touch ID指紋識別傳感器為例，“我很喜歡談到指紋傳感器設計和運行的那一部分。它讓我意識到指紋識別器的意義，并鼓勵了更長更復雜密碼的使用。”

一次大規模的更新

安全顧問及作家里奇莫古爾在名為“如何保護你的iCloudKeychain”里評論道：“這份白皮書是一次大規模的更新。它的內容比蘋果以往的任何一次共享都要多，這可以讓我消化幾個月時間了。”

WatchGuard科技安全策略部總經理科里納什雷內說，“在某些角度上看，在安全領域現在的蘋果就跟10年前的微軟一樣。從歷史上看，這兩個公司都幾乎不分享這些消息。但當我閱讀這份文檔，我發現他們的安全措施相當完備。”例如，可以給不同數據類不同程度的保護；分段的安全功能；使用不同類型的加密方式；不同設備，唯一的標識符。

納什雷內補充道，蘋果的安全體系架構通過了FIPS 140-2認證，這也給iOS產品進入政府部門以及企業鋪好了道路。

他說：“人們認為蘋果的產品沒達到政府或者企業那種安全級別。這些都是偏見，蘋果很可能會成為移動安全的標準。蘋果的設備可能會比任何其他設備更安全。”

當然，近期的RSA安全會議以及漏洞披露顯示，蘋果的產品還是有很多改進的空間。RSA會議上，一家公司提到，黑客可以通過iOS 設備的“個人配置文件”來改變移動設備管理設置。另一個漏洞：非越獄情況下，可以使用一個應用在后臺記錄觸摸屏以及按鍵。另外，去年11月份，惠普報告，2000份針對企業用戶的iOS設備調查中，有90%的企業至少發現了一個安全漏洞。

MobileIron（一家移動安全管理軟件公司）的產品部副經理雷杰表示，這份白皮書安全功能及細節披露可以促使IT部門重新思考移動安全。他說：“大多數IT部門的安全觀念都是在傳統的Windows架構中形成的，因此他們自然而然的會用這些方法來管理iOS設備。當然，這通常不可行，因為iOS底層安全架構和Windows有很大的不同。這份白皮書第一次讓IT部門了解了iOS的體系架構。”

蘋果 Touch ID:安全保護新技術

我們可以從iPhone 5s的Touch ID指紋識別的設計看出蘋果的安全管理方式。用戶按下Home鍵的時候，Touch ID會進行一次 88 x 88 像素，500 ppi 的光柵掃描，數據暫時存儲在Secure Enclave協處理器的加密的內存里，等待矢量化分析。Touch ID會從各種角度不斷學習用戶的指紋，在已有的指紋圖譜上添加新的節點。iPhone 5s完成指紋數據處理和分析以后，就會刪除這些數據，不會發送到iCloud，iTunes，或者蘋果公司。這些數據只有A7的Secure Enclave協處理器可以讀取。

指紋傳感器和Secure Enclave協處理器內建一個共享的秘鑰A，然后系統再由這個共享秘鑰A隨機生成一個唯一的秘鑰B，來加密保護Touch ID數據。如果使用中要調用指紋數據，整個過程都會有AES秘鑰隨機加密保護。

白皮書里提到，“通過Touch ID子系統解鎖設備可以給設備提供額外的安全保護。”
Enclave協處理器還提供了加密操作的數據保護密鑰管理以及數據保護。蘋果白皮書里寫道：“每一個Secure Enclave都擁有唯一一個ID，當設備啟動時，就會創建一個臨時密鑰以及UID，并用來對設備的存儲空間進行加密。”

Enclave是為數據保護所設計的。它擁有自己的安全啟動過程以及軟件更新，獨立于A7處理器。

當Enclave存儲數據到文件系統時，它會自動用UID加密數據。白皮書寫道：“Secure Enclave和應用處理器之間的通信被隔離到一個一個中斷驅動的郵箱和共享內存數據緩沖區里進行。”

蘋果深層次的安全防護

這些邏輯慎密的Enclave以及Touch ID安全保護設計正是iOS安全架構的一個縮影。
納什雷內說：“蘋果的安全防護并不是依靠私人密碼，而是設備的唯一ID。另外，你還可以給應用添加特殊的密碼，比如說，iMessage。這些獨特的密碼越多，設備就越難破解。”

莫古爾在他分析iCloudKeychain的博客里寫道，蘋果對數據的分割也讓黑客無法一次性破解所有的數據。

iCloudKeychain可以讓你在Safari上給不同的網頁創建不同的密碼。Keychain上的密碼可以在不同的設備上進行同步，并存儲在蘋果的服務器上。但是這也引來了一個潛在的問題：鑒于政府監控的案例，信任蘋果的Keychain可能會帶來很嚴重的后果。
莫古爾寫道：“蘋果用一種‘不同但相似的安全手段來保護Keychain同步，暫存以及備份的安全問題’。”

蘋果Keychain同步過程并不會同步設備的獨有ID，蘋果服務器也不會存儲Keychain的數據。莫古爾寫道：“當密碼添加或者改變時，蘋果只會對需要同步的設備進行改變項目的同步,每次只能操作一臺設備。換句話說，每個Keychain項目只會發送到需要的設備里，而Keychain項目只有設備才能識別。另外，iCloud每次只能同步一個項目。”

這種同步方式也給黑客提升了難度。莫古爾說：“要想得到數據，黑客必需破解設備以及iCloud的密碼。或者在用戶不知情的情況下重構整個過程，這并不是一件簡單的事情。”

iCloud Keychain恢復過程通過安全代管服務恢復icloud的整個Keychain。莫古爾補充道，Keychain本身是用一個復雜的密鑰存儲在iCloud中。而這個復雜的密鑰本身是用iCloud安全碼以及防篡改的硬件加密，又稱為硬件安全模塊（HSM）技術加密。

根據設計方案，HSM并不能完全解密keychain。莫古爾說，“由于HSM并不存儲用于加密iCloud密鑰的加密代碼，它并不能讀取用于保護keychain的實際密碼。”

事實上，蘋果做的不僅僅這些。他說，“為保證安全性，蘋果刪除了HSM的管理員連接卡。同時，一旦檢測到未經授權的訪問，系統就會自動刪除密碼并給用戶發送重新設置密碼的通知。”

莫古爾補充道，“正如我所說，我的日常工作是為大型企業以及安全廠商提供建議。我很少看到這種級別的安全保護措施，特別是刪除連接HSM的管理智能卡。”
他解釋道，蘋果為用戶考慮了很多。用戶可以通過設置打開iCloud Keychain，并按照一系列步驟產生一個加密，安全，不可猜測的iCloud安全碼來保護keychain。
莫古爾說，“這樣的隨機iCloud 安全碼不會發送給蘋果也不會給截獲。如果不用這個隨機iCloud 安全碼（而是將密碼存放在如1Password或者LatPass這種密碼管理工具），黑客也無法解密iCloud上的keychain。另外，即便是NSA，也無權知道這些。”

另外，蘋果其他互聯網服務（如iMassage,Facetime以及Siri）的安全問題也很引人注意。WatchGuard的納什雷內說：“蘋果試圖保護通過蘋果云上的數據來確保這些互聯網服務的安全。”

IT顧問本杰明列維說：“我認為那些不擅長安全管理的IT人員都應該讀讀這份安全白皮書。它詳細描述了蘋果如何打造完美的安全性能。閱讀這份白皮書之后，我立即開始對MAC OS以及其他的Mac 硬件的相似進步感到興趣。我猜，我們很快就看到一些非常大的變化。”