![](https://help.apple.com/assets/6537FB06A074DBB5E802EA07/6537FB31280588A5490B6E1D/it_IT/52d714626638d3391623c853be0c593b.png)
Secure Enclave
Secure Enclave è un sottosistema di sicurezza dedicato presente nelle versioni più recenti di iPhone, iPad, Mac, Apple TV, Apple Watch e HomePod.
Panoramica
Secure Enclave è un sottosistema sicuro dedicato integrato sui SoC di Apple. Secure Enclave è isolato dal processore principale per fornire un ulteriore livello di sicurezza ed è progettato per mantenere protetti i dati sensibili dell’utente, anche se il kernel del processore per le applicazioni venisse compromesso. Il suo design segue gli stessi principi del SoC: una ROM di avvio che stabilisce una radice di attendibilità hardware, un motore AES per operazioni crittografiche efficienti e sicure e una memoria protetta. Sebbene Secure Enclave non sia dotato di uno spazio di archiviazione, ha un meccanismo che gli consente di archiviare informazioni in modo sicuro su uno spazio collegato, separato dalla memoria flash NAND utilizzata dal processore per le applicazioni e dal sistema operativo.
![Un diagramma che mostra i componenti di Secure Enclave.](https://help.apple.com/assets/6537FB06A074DBB5E802EA07/6537FB31280588A5490B6E1D/it_IT/c47f27ba5468f37525fe04cb6979aa89.png)
Secure Enclave è una funzionalità hardware presente su gran parte dei modelli di iPhone, iPad, Mac, Apple TV, Apple Watch e HomePod, ossia:
iPhone 5s o modelli successivi
iPad Air o modelli successivi
Computer Mac dotati di chip Apple
MacBook Pro con Touch Bar (2016 e 2017) dotati di chip Apple T1
Computer Mac dotati di processore Intel con chip di sicurezza Apple T2
Apple TV HD o modelli successivi
Apple Watch Series 1 o modelli successivi
HomePod e HomePod mini
Processore di Secure Enclave
Il processore di Secure Enclave fornisce la potenza di elaborazione principale al chip. Per fornire il più alto livello di isolamento, il processore di Secure Enclave è dedicato esclusivamente a Secure Enclave. Ciò aiuta a impedire attacchi a canale laterale, che si basano su software dannoso che condivide lo stesso core di esecuzione del software oggetto dell’attacco.
Il processore di Secure Enclave esegue una versione personalizzata da Apple del microkernel L4. Esso è progettato per operare in modo efficiente a una velocità di clock bassa, che aiuta a proteggerlo da attacchi basati sul monitoraggio del clock e dei consumi. Il processore di Secure Enclave, a partire dai chip A11 e S4, include un motore protetto dalla memoria e una memoria codificata con funzionalità anti-replay, l’avvio protetto, un generatore di numeri casuali dedicato e un motore AES separato.
Motore di protezione della memoria
Secure Enclave opera da una regione dedicata della memoria DRAM del dispositivo. La memoria sicura di Secure Enclave è isolata dal processore per le applicazioni da vari livelli di protezione.
Quando il dispositivo si avvia, la ROM di avvio di Secure Enclave genera una chiave casuale di protezione della memoria effimera per il motore di protezione della memoria. Ogni volta che Secure Enclave scrive sulla propria regione di memoria dedicata, il motore di protezione codifica il blocco di memoria tramite AES in modalità Mac XEX (xor-encrypt-xor) e calcola un tag di autenticazione CMAC (Cipher-based Message Authentication Code) per la memoria. Il motore di protezione archivia il tag di autenticazione insieme alla memoria codificata. Quando Secure Enclave legge la memoria, il motore di protezione verifica il tag di autenticazione. Se viene trovata una corrispondenza, il motore di protezione decrittografa il blocco di memoria. Se non viene trovata una corrispondenza, il motore di protezione invia un segnale di errore a Secure Enclave. Dopo un errore di autenticazione della memoria, Secure Enclave smette di accettare richieste finché il sistema non viene riavviato.
A partire dai SoC Apple A11 e S4, il motore di protezione della memoria aggiunge la protezione contro i replay attack per la memoria di Secure Enclave. Per aiutare a impedire il riutilizzo di dati critici per la sicurezza, il motore di protezione della memoria archivia un numero univoco di singolo utilizzo chiamato valore anti-replay, che serve per il blocco di memoria, insieme al tag di autenticazione. Il valore anti-replay viene utilizzato come ulteriore elemento di sicurezza per il tag di autenticazione CMAC. I valori anti-replay per tutti i blocchi di memoria sono protetti tramite un albero di integrità che ha il proprio root in una SRAM dedicata all’interno di Secure Enclave. Per le scritture, il motore di protezione della memoria aggiorna i valori anti-replay e ciascun livello dell’albero di integrità fino alla SRAM. Per le letture, il motore di protezione della memoria verifica i valori anti-replay e ciascun livello dell’albero di integrità fino alla SRAM. Le mancate corrispondenze dei valori anti-replay vengono gestite allo stesso modo di quelle dei tag di autenticazione.
Sui SoC Apple A14, M1 o successivi, il motore di protezione della memoria supporta due chiavi di protezione della memoria effimere. La prima è usata per dati privati di Secure Enclave, mentre la seconda è usata per i dati condivisi con il processore neurale protetto.
Il motore di protezione della memoria opera in collegamento e in modo trasparente con Secure Enclave. Secure Enclave legge e scrive la memoria come se fosse una normale DRAM non codificata, mentre un osservatore al di fuori di Secure Enclave è in grado di vedere solo la versione codificata e autenticata delle memoria. Ciò fornisce una forte protezione della memoria senza svantaggi sulle prestazioni o sulla complessità del software.
ROM di avvio di Secure Enclave
Secure Enclave include una ROM di avvio dedicata. In maniera simile alla ROM di avvio del processore per le applicazioni, la ROM di avvio di Secure Enclave è costituita da codice immutabile che stabilisce la radice di attendibilità hardware per Secure Enclave.
All’avvio del sistema, iBoot assegna a Secure Enclave una regione di memoria dedicata. Prima di usare la memoria, la ROM di avvio di Secure Enclave inizializza il motore di protezione per proteggere crittograficamente tale memoria.
Quindi il processore per le applicazioni invia l’immagine del sistema operativo di Secure Enclave (sepOS) alla ROM di avvio di Secure Enclave. Dopo aver copiato l’immagine di sepOS nella memoria protetta, la ROM di avvio di Secure Enclave controlla l’hash crittografico e la firma dell’immagine per verificare che sepOS sia autorizzato a essere eseguito sul dispositivo. Se l’immagine di sepOS è correttamente firmata per l’esecuzione sul dispositivo, la ROM di avvio di Secure Enclave trasferisce il controllo a sepOS. Se la firma non è valida, la ROM di avvio di Secure Enclave è progettata per impedire qualsiasi utilizzo di quest’ultimo fino al prossimo ripristino del chip.
Sui SoC Apple A10 e modelli successivi, la ROM di avvio di Secure Enclave blocca un hash di sepOS in un registro dedicato a tale scopo. L’acceleratore delle chiavi pubbliche utilizza tale hash per le chiavi legate al sistema operativo.
Monitor di avvio di Secure Enclave
Sui SoC Apple A13 o modelli successivi, Secure Enclave include un monitor di avvio progettato per garantire un’integrità maggiore per l’hash dell’istanza di sepOS avviata.
All’avvio del sistema, la configurazione della protezione dell’integrità dei coprocessori di sistema (SCIP) del processore di Secure Enclave aiuta a impedire a quest’ultimo di eseguire qualsiasi codice che non sia la ROM di avvio di Secure Enclave. Il monitor di avvio aiuta a impedire a Secure Enclave di modificare direttamente la configurazione del SCIP. Per rendere il sepOS caricato eseguibile, la ROM di avvio di Secure Enclave invia al monitor di avvio una richiesta con l’indirizzo e le dimensioni di tale sepOS caricato. Una volta ricevuta la richiesta, il monitor di avvio inizializza il processore di Secure Enclave, applica un hash al sepOS caricato, aggiorna le impostazioni del SCIP per consentire l’esecuzione del sepOS caricato e avvia l’esecuzione all’interno del codice appena caricato. Man mano che l’avvio del sistema procede, questo stesso processo viene utilizzato ogni volta che viene reso eseguibile del nuovo codice. Ogni volta, il monitor di avvio aggiorna un hash in esecuzione del processo di avvio. Il monitor di avvio include anche importanti parametri di sicurezza nell’hash in esecuzione.
Una volta completato l’avvio, il monitor finalizza l’hash in esecuzione e lo invia all’acceleratore delle chiavi pubbliche perché venga usato nelle chiavi legate al sistema operativo. Questo processo garantisce che il collegamento delle chiavi del sistema operativo non possa essere bypassato, anche nel caso in cui ci fosse una vulnerabilità nella ROM di avvio di Secure Enclave.
Generatore di numeri veramente casuali
Il generatore di numeri veramente casuali è utilizzato per generare dati casuali sicuri. Secure Enclave lo utilizza ogni volta che genera una chiave crittografica casuale, un seed per una chiave casuale o altra entropia. Il generatore di numeri casuali è basato su vari oscillatori ad anello, successivamente elaborati tramite CTR_DRBG (un algoritmo basato sulla codifica a blocchi in modalità CTR).
Chiavi crittografiche root
Secure Enclave include una chiave crittografica root composta da un ID unico (UID). L’UID è unico per ciascun dispositivo individuale e non è correlato a nessun altro identificativo sul dispositivo.
Un UID generato in modo casuale viene impresso nel SoC durante la produzione. A partire dai SoC A9, l’UID viene creato dal generatore di numeri casuali di Secure Enclave durante la produzione e viene scritto sui fusibili tramite un processo software eseguito interamente all’interno di Secure Enclave. Tale processo impedisce che l’UID sia visibile al di fuori del dispositivo durante la produzione e quindi assicura che non sia disponibile per l’accesso o l’archiviazione da parte di Apple o dei suoi fornitori.
sepOS utilizza l’UID per proteggere alcuni segreti specifici del dispositivo. L’UID consente di collegare attraverso la codifica i dati a un dispositivo particolare. Ad esempio, la gerarchia di chiavi che protegge il file system include l’UID, quindi se l’unità di archiviazione SSD interna viene fisicamente spostata da un dispositivo all’altro, i file sono inaccessibili. Altri segreti protetti specifici di ogni dispositivo includono i dati di Face ID o di Touch ID. Sui Mac, solo l’unità di archiviazione totalmente interna collegata al motore AES riceve questo livello di codifica. Ad esempio, né i dispositivi di archiviazione esterni collegati tramite USB né le unità di archiviazione PCIe aggiunte a Mac Pro (2019) vengono codificati in questo modo.
Secure Enclave ha anche un identificatore per i gruppi di dispositivi (GID), che è comune a tutti i dispositivi che utilizzano un determinato SoC (ad esempio, tutti i dispositivi che usano il SoC Apple A15 condividono lo stesso GID).
L’UID e il GID non sono disponibili via JTAG (Joint Test Action Group) o altre interfacce di debug.
Motore AES di Secure Enclave
Il motore AES di Secure Enclave è un blocco hardware usato per eseguire operazioni di crittografia simmetrica basata sull’algoritmo AES. Il motore AES è progettato per essere immune alla fuga di informazioni tramite misurazioni temporali e l’analisi dell’energia statica (SPA). A partire dal SoC A9, il motore AES include anche misure di analisi dell’energia dinamica (DPA).
Il motore AES supporta chiavi hardware e software. Le chiavi hardware derivano dall’UID o dal GID di Secure Enclave. Tali chiavi restano all’interno del motore AES e non sono rese visibili nemmeno al software di sepOS. Sebbene il software possa richiedere operazioni di crittografia e decrittografia con le chiavi hardware, esso non può estrarre le chiavi.
Sui SoC Apple A10 e modelli più recenti, il motore AES include bit seed bloccabili che diversificano le chiavi derivate dall’UID o GID. Ciò consente di condizionare l’accesso ai dati in base alla modalità in cui si trova il dispositivo. Ad esempio, i bit seed bloccabili vengono usati per impedire l’accesso ai dati protetti da password quando si esegue l’avvio in modalità DFU. Per ulteriori informazioni, consulta Codici e password.
Motore AES
Ogni dispositivo Apple con Secure Enclave possiede al suo interno anche un motore di codifica dedicato basato su AES256 (il “motore AES”), integrato nel percorso DMA (Direct Memory Access) tra la memoria flash NAND (non volatile) e la memoria principale del sistema, che rende altamente efficiente il processo di codifica dei file. Sui processori A9 o modelli successivi della stessa serie, il sottosistema di archiviazione flash si trova su un bus isolato, che ha accesso solo alla memoria con i dati dell’utente mediante il motore di codifica del DMA.
Durante l’avvio, sepOS genera una chiave di cifratura effimera tramite il generatore di numeri casuali. Secure Enclave trasmette questa chiave al motore AES tramite un collegamento dedicato progettato per impedirne l’accesso da parte di qualsiasi software al di fuori del chip. sepOS potrà quindi utilizzare la chiave effimera per cifrare le chiavi dei file utilizzate dal driver del file system del processore per le applicazioni. Quando il driver del file system legge o scrive un file, invia la chiave cifrata al motore AES, che decifra la chiave. Il motore AES non espone mai la chiave decifrata al software.
Nota: il motore AES è un componente separato sia da Secure Enclave che dal motore AES di Secure Enclave, ma il suo funzionamento è strettamente legato a Secure Enclave, come mostrato sotto.
![Un diagramma che mostra in che modo il motore AES supporta la crittografia senza perdita di velocità sul percorso DMA, fornendo crittografia e decrittografia efficienti dei dati mentre vengono scritti e letti sullo spazio di archiviazione.](https://help.apple.com/assets/6537FB06A074DBB5E802EA07/6537FB31280588A5490B6E1D/it_IT/00fa1cc14ff73f20143b5af5febe3b6b.png)
Acceleratore delle chiavi pubbliche
L’acceleratore delle chiavi pubbliche (PKA) è un blocco hardware utilizzato per eseguire operazioni di crittografia asimmetrica. L’acceleratore delle chiavi pubbliche supporta algoritmi di firma e codifica RSA ed ECC (crittografia basata su curva ellittica). L’acceleratore delle chiavi pubbliche è progettato per essere immune a fughe di dati tramite misurazioni temporali e attacchi a canale laterale, come SPA e DPA.
L’acceleratore delle chiavi pubbliche supporta chiavi software e hardware. Le chiavi hardware derivano dall’UID o dal GID di Secure Enclave. Tali chiavi restano all’interno dell’acceleratore delle chiavi pubbliche e non sono rese visibili nemmeno al software di sepOS.
A partire dai SoC A13, tramite tecniche di verifica formale è stato provato che le implementazioni crittografiche dell’acceleratore delle chiavi pubbliche sono matematicamente corrette.
Sui SoC Apple A10 e modelli successivi, l’acceleratore delle chiavi pubbliche supporta le chiavi legate al sistema operativo, un meccanismo conosciuto anche come SKP (Sealed Key Protection). Tali chiavi vengono generate tramite una combinazione dell’UID del dispositivo e dell’hash del sepOS in esecuzione sul dispositivo. L’hash è fornito dalla ROM di avvio di Secure Enclave oppure dal monitor di avvio di Secure Enclave sui SoC Apple A13 o modelli successivi. Tali chiavi sono usate anche per verificare la versione di sepOS durante le richieste a determinati servizi Apple; sono inoltre usate per migliorare la sicurezza dei dati protetti da codice, aiutando a impedire l’accesso ai contenuti delle chiavi se vengono effettuate modifiche importanti al sistema senza autorizzazione da parte dell’utente.
Archiviazione non volatile protetta
Secure Enclave è dotato di un dispositivo di archiviazione non volatile protetta. L’archiviazione non volatile protetta è collegata a Secure Enclave tramite un bus I2C dedicato, quindi è accessibile solo a Secure Enclave. Tutte le chiavi di codifica dei dati utente hanno la propria radice nell’entropia memorizzata nell’archiviazione non volatile protetta di Secure Enclave.
Sui dispositivi con SoC A12, S4 e modelli successivi, Secure Enclave è abbinato a un componente Secure Storage per l’archiviazione dell’entropia. Il componente Secure Storage è progettato a sua volta con un codice ROM immutabile, un generatore di numeri casuali hardware, una chiave crittografica unica per ciascun dispositivo, motori crittografici e un sistema di rilevamento di manomissione fisica. Secure Enclave e il componente Secure Storage comunicano tramite un protocollo codificato e autenticato che fornisce un accesso esclusivo all’entropia.
I dispositivi immessi sul mercato a partire dall’autunno del 2020 sono dotati di un componente Secure Storage di seconda generazione. Il componente Secure Storage di seconda generazione è provvisto di meccanismi di blocco a contatore. Ogni meccanismo di blocco a contatore archivia un salt a 128 bit, un valore di verifica del codice a 128 bit, un contatore a 8 bit e un valore di tentativi massimi a 8 bit. L’accesso ai meccanismi di blocco a contatore avviene tramite un protocollo codificato e autenticato.
I meccanismi di blocco a contatore contengono l’entropia necessaria per sbloccare i dati utente protetti del codice. Per accedere ai dati dell’utente, il Secure Enclave abbinato deve derivare il corretto valore di entropia del codice dal codice dell’utente e dall’UID di Secure Enclave. Non è possibile venire a conoscenza del codice dell’utente tramite tentativi di sblocco inviati da una sorgente diversa dal Secure Enclave abbinato. Se viene superato il limite massimo di inserimento del codice (ad esempio, 10 tentativi su iPhone), i dati protetti dal codice vengono completamente cancellati dal componente Secure Storage.
Per creare un meccanismo di blocco a contatore, Secure Enclave invia al componente Secure Storage il valore di entropia del codice e il valore di tentativi massimi. Secure Storage genera il valore salt tramite il proprio generatore di numeri casuali. Quindi deriva un valore di verifica del codice e un valore di entropia del meccanismo di blocco dall’entropia del codice fornita, dalla chiave crittografica unica di Secure Storage e dal valore salt. Il componente inizializza il meccanismo di blocco a contatore con un conteggio pari a 0, il valore di tentativi massimi fornito, il valore di verifica del codice derivato e il valore salt. Il componente quindi restituisce il valore di entropia del meccanismo di blocco generato a Secure Enclave.
Per ricevere il valore di entropia da un meccanismo di blocco a contatore in un secondo momento, Secure Enclave invia a Secure Storage l’entropia del codice. Per prima cosa, il componente Secure Storage incrementa il conteggio del meccanismo di blocco. Se il conteggio incrementato supera il valore di tentativi massimi, il componente cancella completamente il meccanismo di blocco. Se il numero di tentativi massimi non è stato raggiunto, il componente Secure Storage tenta di derivare il valore di verifica del codice e il valore di entropia del meccanismo di blocco con lo stesso algoritmo usato per creare il meccanismo di blocco a contatore. Se il valore di verifica del codice derivato corrisponde al valore di verifica del codice archiviato, Secure Storage restituisce il valore dell’entropia del meccanismo di blocco a Secure Enclave e reimposta il contatore su 0.
Le chiavi utilizzate per accedere ai dati protetti da password hanno la propria radice nell’entropia archiviata nei meccanismi di blocco a contatore. Per ulteriori informazioni, consulta Panoramica della protezione dati.
L’archiviazione non volatile protetta viene usata per tutti i servizi anti-replay in Secure Enclave. I servizi anti-replay su Secure Enclave sono usati per la revoca dei dati in seguito ad eventi che costituiscono momenti di delimitazione per l’anti-replay, tra cui, ad esempio:
Modifica del codice
Abilitazione o disabilitazione di Face ID o di Touch ID
Aggiunta o rimozione di di un volto in Face ID o di un’impronta digitale in Touch ID
Ripristino di Face ID o di Touch ID
Aggiunta o rimozione di una carta di Apple Pay
Inizializzazione dei contenuti e delle impostazioni
Sulle architetture sprovviste del componente Secure Storage, per fornire servizi di archiviazione sicura a Secure Enclave viene utilizzata una memoria di sola lettura programmabile cancellabile elettricamente (EEPROM). Proprio come il componente Secure Storage, tale memoria è collegata e accessibile solo a Secure Enclave, ma non contiene funzionalità di sicurezza hardware dedicate, non garantisce accesso esclusivo all’entropia (a eccezione del fatto di essere collegata fisicamente) e non ha meccanismi di blocco a contatore.
Processore neurale protetto
Sui dispositivi con Face ID (non con Touch ID) il processore neurale protetto converte immagini 2D e mappe di profondità in una rappresentazione matematica del volto dell’utente.
Sui SoC da A11 fino ad A13, il processore neurale protetto è integrato in Secure Enclave. Il processore neurale protetto utilizza l’accesso diretto alla memoria per ottenere prestazioni maggiori. Questo accesso diretto alle regioni di memoria autorizzate è limitato da un’unità per la gestione della memoria di input/output sotto il controllo del kernel di sepOS.
A partire dai chip A14, M1 e successivi, il processore neurale protetto è implementato tramite una modalità sicura nel processore neurale del processore per le applicazioni. Un controller hardware di sicurezza dedicato esegue il passaggio dalle operazioni del processore per le applicazioni e quelle di Secure Enclave, reimpostando lo stato del processore neurale a ciascuna transizione per mantenere protetti i dati di Face ID. Un processore dedicato si occupa della codifica della memoria, dell’autenticazione e del controllo degli accessi. Al tempo stesso, utilizza una chiave crittografica separata e un intervallo di memoria separato per limitare le operazioni del processore neurale protetto alle regioni di memoria autorizzate.
Monitor di potenza e di clock
Tutti i componenti elettronici sono progettati per funzionare entro determinati limiti di tensione e frequenza. Se vengono fatti funzionare al di fuori di tali limiti, i componenti elettronici possono incontrare problemi e i controlli di sicurezza possono essere bypassati. Per aiutare a garantire che la tensione e la frequenza rimangano dentro l’intervallo sicuro, Secure Enclave è progettato con circuiti di monitoraggio. Tali circuiti di monitoraggio sono progettati per avere un intervallo di funzionamento molto più ampio rispetto al resto di Secure Enclave. Se i monitor rilevano un elemento che opera in modo non valido, i clock di Secure Enclave si interrompono automaticamente e non riprendono fino al prossimo ripristino del SoC.
Riepilogo delle funzionalità di Secure Enclave
Nota: i prodotti con processore A12, A13, S4 e S5 immessi sul mercato a partire dall’autunno del 2020 sono dotati di componente Secure Storage di seconda generazione, mentre i prodotti precedenti basati sugli stessi SoC sono dotati di Secure Storage di prima generazione.
SoC | Motore di protezione della memoria | Secure Storage | Motore AES | PKA |
---|---|---|---|---|
A8 | Codifica e autenticazione | EEPROM | Sì | No |
A9 | Codifica e autenticazione | EEPROM | Protezione DPA | Sì |
A10 | Codifica e autenticazione | EEPROM | Protezione DPA e bit seed bloccabili | Chiavi legate al sistema operativo |
A11 | Codifica, autenticazione e anti-replay | EEPROM | Protezione DPA e bit seed bloccabili | Chiavi legate al sistema operativo |
A12 (dispositivi Apple immessi sul mercato prima dell’autunno del 2020) | Codifica, autenticazione e anti-replay | Componente Secure Storage gen.1 | Protezione DPA e bit seed bloccabili | Chiavi legate al sistema operativo |
A12 (dispositivi Apple immessi sul mercato dopo l’autunno del 2020) | Codifica, autenticazione e anti-replay | Componente Secure Storage gen.2 | Protezione DPA e bit seed bloccabili | Chiavi legate al sistema operativo |
A13 (dispositivi Apple immessi sul mercato prima dell’autunno del 2020) | Codifica, autenticazione e anti-replay | Componente Secure Storage gen.1 | Protezione DPA e bit seed bloccabili | Chiavi legate al sistema operativo e monitor di avvio |
A13 (dispositivi Apple immessi sul mercato dopo l’autunno del 2020) | Codifica, autenticazione e anti-replay | Componente Secure Storage gen.2 | Protezione DPA e bit seed bloccabili | Chiavi legate al sistema operativo e monitor di avvio |
A14 - A17 | Codifica, autenticazione e anti-replay | Componente Secure Storage gen.2 | Protezione DPA e bit seed bloccabili | Chiavi legate al sistema operativo e monitor di avvio |
S3 | Codifica e autenticazione | EEPROM | Protezione DPA e bit seed bloccabili | Sì |
S4 | Codifica, autenticazione e anti-replay | Componente Secure Storage gen.1 | Protezione DPA e bit seed bloccabili | Chiavi legate al sistema operativo |
S5 (dispositivi Apple immessi sul mercato prima dell’autunno del 2020) | Codifica, autenticazione e anti-replay | Componente Secure Storage gen.1 | Protezione DPA e bit seed bloccabili | Chiavi legate al sistema operativo |
S5 (dispositivi Apple immessi sul mercato dopo l’autunno del 2020) | Codifica, autenticazione e anti-replay | Componente Secure Storage gen.2 | Protezione DPA e bit seed bloccabili | Chiavi legate al sistema operativo |
S6 - S9 | Codifica, autenticazione e anti-replay | Componente Secure Storage gen.2 | Protezione DPA e bit seed bloccabili | Chiavi legate al sistema operativo |
T2 | Codifica e autenticazione | EEPROM | Protezione DPA e bit seed bloccabili | Chiavi legate al sistema operativo |
M1, M2, M3 | Codifica, autenticazione e anti-replay | Componente Secure Storage gen.2 | Protezione DPA e bit seed bloccabili | Chiavi legate al sistema operativo e monitor di avvio |