![](https://help.apple.com/assets/6537FB06A074DBB5E802EA07/6537FB31280588A5490B6E1D/zh_CN/52d714626638d3391623c853be0c593b.png)
术语表
- 安全储存组件
芯片设计为使用不可更改的 RO 代码、硬件随机数生成器、加密引擎和物理篡改检测。在支持的设备上,安全隔区与用于储存反重放值的安全储存组件配对。为了读取和更新反重放值,安全隔区和储存芯片采用安全协议来帮助确保对反重放值的排他访问。此技术已更迭多代,提供了不同的安全性保证。
- 地址空间布局随机化 (ASLR)
操作系统所采用的一项技术,旨在让恶意利用软件错误的成功几率极大地降低。通过确保内存地址和偏移量不可预测,使攻击代码无法对这些值进行硬编码。
- 底层引导载入程序 (LLB)
在具有两步启动架构的 Mac 电脑上,LLB 包含由 Boot ROM 调用的代码,该代码随后会载入 iBoot,作为安全启动链的一环。
- 恢复模式
该模式用于在无法识别用户设备的情况下恢复许多 Apple 设备,使用户可以重新安装操作系统。
- 集成电路 (IC)
也称为微芯片。
- 可擦除存储器
NAND 存储器中一个用于储存加密密钥的专用区域,可被直接寻址和安全擦除。尽管当攻击者实际占有设备时,可擦除存储器无法提供保护,但其中存储的密钥可用作密钥层级的一部分,用于实现快速擦除和前向安全性。
- 联合测试行动小组 (JTAG)
一个由程序员和电路开发者采用的标准硬件调试工具。
- 临时椭圆曲线迪菲-赫尔曼交换 (ECDHE)
一种基于椭圆曲线的密钥交换机制。ECDHE 允许双方就私密密钥达成一致,其使用的方式可防止窃听双方信息的窃听者发现密钥。
- 媒介密钥
加密密钥层次的一部分,可帮助实现安全的立即擦除。在 iOS、iPadOS、Apple tvOS 和 watchOS 中,媒介密钥会封装数据宗卷上的元数据(因此,没有媒介密钥便无法访问所有文件独有密钥,也就无法访问受数据保护加密方法所保护的文件)。在 macOS 中,媒介密钥会封装文件保险箱所保护宗卷上的密钥材料、所有元数据和数据。在上述任何一种情况下,擦除媒介密钥会让加密的数据变得不可访问。
- 门禁
macOS 中的一项技术,其设计旨在帮助确保仅受信任的软件可在用户的 Mac 上运行。
- 密封密钥保护 (SKP)
数据保护中的一种技术,其使用系统软件的测量值和仅在硬件中可用的密钥来保护(或密封)加密密钥。
- 密码派生密钥 (PDK)
用户密码与长期 SKP 密钥和安全隔区的 UID 配合使用,由此派生加密密钥。
- 密钥包
一种用于储存一组类密钥的数据结构。每种类型(用户、设备、系统、备份、托管或 iCloud 云备份)的格式都相同。
包含以下内容的标头:版本(在 iOS 12 或更高版本中设为四);类型(系统、备份、托管或 iCloud 云备份);密钥包 UUID;HMAC(若密钥包已签名);用于封装类密钥的方法:配合盐和迭代计数使用 Tangling 及 UID 或 PBKDF2。
类密钥列表:密钥 UUID;类(哪个文件或钥匙串数据保护类);封装类型(仅 UID 派生密钥;UID 派生密钥和密码派生密钥);封装的类密钥;非对称类的公钥。
- 密钥封装
使用一个密钥来加密另一个密钥。iOS 和 iPadOS 根据 RFC 3394 使用 NIST AES 密钥封装。
- 内存控制器
片上系统中的子系统,控制片上系统与其主内存之间的接口。
- 片上系统 (SoC)
一种将多种组件整合到单个芯片上的集成电路 (IC)。应用程序处理器、安全隔区和其他协处理器都是 SoC 的组件。
- 启动进程寄存器 (BPR)
一组片上系统 (SoC) 硬件旗标,软件可使用其跟踪设备进入的启动模式,如设备固件更新 (DFU) 模式和恢复模式。启动进程寄存器旗标经设定后就不可清除。这样就允许后续软件获得系统状态的可信指示。
- 启动转换
支持在受支持的 Mac 电脑上安装 Microsoft Windows 的 Mac 实用工具。
- 软件种子位
安全隔区 AES 引擎中的专用位,从 UID 生成密钥时追加到 UID 末尾。每个软件种子位都有对应的锁定位。只要对应的锁定位还未设定,安全隔区 Boot ROM 和操作系统就可独立更改每个软件种子位的值。设定锁定位后,其本身或软件种子位都不能修改。安全隔区重启时,软件种子位和其锁定位会还原。
- 设备固件升级 (DFU) 模式
设备的 Boot ROM 代码在等待通过 USB 进行恢复时所处的模式。在 DFU 模式下,设备为黑屏,但在连接到运行 iTunes 或“访达”的电脑时,会出现以下提示:“‘访达’(或 iTunes)检测到一个处于恢复模式的(iPhone 或 iPad)。用户必须先恢复此(iPhone 或 iPad),然后才能将它与‘访达’(或 iTunes)配合使用。”
- 输入/输出内存管理单元 (IOMMU)
输入/输出内存管理单元。集成芯片中的子系统,用于控制从其他输入/输出设备和外围设备访问地址空间的权限。
- 数据保护
支持的 Apple 设备的文件和钥匙串保护机制。它也可以指 App 用来保护文件和钥匙串项的 API。
- 数据保险箱
由内核强制实施的一种机制,用于防止未经授权访问数据,不管请求的 App 本身是否经过沙盒化。
- 统一可扩展固件接口 (UEFi) 固件
一种 BIOS 的替代技术,用于将固件连接到电脑的操作系统。
- 统一资源标识符 (URI)
可识别基于网络的资源的字符串。
- 椭圆曲线数字签名算法 (ECDSA)
一种基于椭圆曲线加密的数字签名算法。
- 唯一 ID (UID)
一个 256 位的 AES 密钥,在设备制造过程中刻录在每个处理器上。这种密钥无法由固件或软件读取,只能由处理器的硬件 AES 引擎使用。若要获取实际密钥,攻击者必须对处理器的芯片发起极为复杂且代价高昂的物理攻击。UID 与设备上的任何其他标识符均无关,包括但不限于 UDID。
- 文件独有密钥
数据保护用于在文件系统上加密文件的密钥。文件独有密钥使用类密钥封装,储存在文件的元数据中。
- 文件系统密钥
用于加密每个文件的元数据的密钥,包括其类密钥。存储在可擦除存储器中,用于实现快速擦除,并非用于保密目的。
- 纹路走向角度映射
一种从部分指纹中提取以用于描述纹路走向和宽度的数学呈现方式。
- 系统软件授权
将植入硬件的加密密钥与在线服务相结合的过程,以检查在升级时是否仅提供和安装由 Apple 发布且适用于受支持设备的正版软件。
- 系统协处理器完整性保护 (SCIP)
Apple 采用的一种机制,其设计旨在阻止修改协处理器固件。
- 钥匙串
一种基础架构和一组 API、Apple 操作系统和第三方 App 用来储存和检索密码、密钥及其他敏感凭证。
- 移动设备管理 (MDM)
一种可让管理员远程管理已注册设备的服务。设备注册后,管理员可通过网络使用 MDM 服务来在设备上配置设置以及执行其他任务,无需进行用户交互。
- 硬件安全模块 (HSM)
专门防篡改的电脑,可保障数字密钥的安全并对其进行管理。
- 预置描述文件
Apple 签名的属性列表(.plist 文件),其中列明允许在 iOS 或 iPadOS 设备上安装和测试 App 的实体和授权。开发预置描述文件列出开发人员选择要进行 Ad Hoc 分发的设备,分发预置描述文件中包含企业开发的 App 的 App ID。
- 增强的串行外设接口 (eSPI)
设计用于同步串行通信的一体化总线。
- 直接内存访问 (DMA)
一项允许硬件子系统绕过 CPU 直接访问主内存的功能。
- 专有芯片 ID (ECID)
每台 iPhone 或 iPad 中处理器所独有的一个 64 位标识符。
- 组 ID (GID)
类似于 UID,但同一类中的每个处理器的 GID 都相同。
- AES 加密引擎
执行 AES 的专用硬件组件。
- AES-XTS
IEEE 1619-2007 中所规定的一种 AES 模式,用于加密存储介质。
- AES(高级加密标准)
一种流行的全局加密标准,用于加密数据以保护其隐私。
- APFS(Apple 文件系统)
这是 iOS、iPadOS、Apple tvOS、watchOS 和使用 macOS 10.13 或更高版本的 Mac 电脑的默认文件系统。APFS 具有强加密、空间共享、快照、快速目录大小统计功能以及改进的文件系统基础。
- Apple 安全性奖金
Apple 向研究人员发放的奖金,奖励其报告影响最新发布的操作系统及相关最新硬件的漏洞。
- Apple 商务管理
一个针对 IT 管理员且基于网站的简单门户,为组织提供了一种快速简单的方法来部署 Apple 设备,无论设备是组织直接从 Apple 购买的,还是购买自 Apple 合作授权经销商或运营商处。在用户获得设备前,管理员无需实际操作或者准备设备,即可在移动设备管理 (MDM) 解决方案中自动注册设备。
- Apple 身份识别服务 (IDS)
Apple 的 iMessage 信息公钥、APNs 地址和电话号码及电子邮件地址目录,用于查找密钥和设备地址。
- Apple 推送通知服务 (APNs)
一项由 Apple 提供的全球服务,用于向 Apple 设备传送推送通知。
- Apple 校园教务管理
一个针对 IT 管理员且基于网站的简单门户,为组织提供了一种快速简单的方法来部署 Apple 设备,无论设备是组织直接从 Apple 购买的,还是购买自 Apple 合作授权经销商或运营商处。在用户获得设备前,管理员无需实际操作或者准备设备,即可在移动设备管理 (MDM) 解决方案中自动注册设备。
- Boot ROM
设备的处理器在首次启动时所执行的第一个代码。作为处理器不可分割的一部分,Apple 或攻击者均无法修改。
- CKRecord
键值对词典,键值对包含通过 CloudKit 存储或获取的数据。
- HMAC
一种基于加密哈希函数的信息认证码。
- iBoot
适用于所有 Apple 设备的 2 级启动载入程序。载入 XNU 以作为安全启动链一部分的代码。iBoot 可由底层引导载入程序载入或直接由 Boot ROM 载入,具体取决于片上系统 (SoC) 的版本。
- NAND
非易失性闪存。
- sepOS
安全隔区固件,基于 Apple 定制版本的 L4 微内核。
- SSD 控制器
管理存储介质(固态硬盘)的硬件子系统。
- Tangling
用户密码转换为密钥并使用设备的 UID 加强的过程。此过程帮助确保暴力攻击只能在特定设备上执行,因此可限制攻击的频度且避免多部设备同时遭到攻击。Tangling 算法是 PBKDF2。这种算法为每次迭代使用加入设备 UID 的 AES 密钥作为伪随机函数 (PRF)。
- xART
eXtended 反重放技术的缩写。一组为具有反重放功能(基于物理储存架构)的安全隔区提供加密且经认证的永久储存区的服务。请参阅“安全储存组件”。
- XNU
Apple 操作系统中央的内核。默认为受信任状态,并强制执行代码签名、沙盒化、授权核对和地址空间布局随机化 (ASLR) 等安全措施。
- XProtect
macOS 中的一项防病毒技术,可基于签名检测和移除恶意软件。