![](https://help.apple.com/assets/6537FB06A074DBB5E802EA07/6537FB31280588A5490B6E1D/zh_HK/52d714626638d3391623c853be0c593b.png)
鑰匙圈安全同步
當用户第一次為雙重認證帳户開啟「iCloud 鑰匙圈」時,裝置會為自己製作同步身份。同步身份包括非對稱橢圓密鑰(使用 P-384),其會儲存在裝置的鑰匙圈中。每部裝置都會維護該用户其他裝置的同步身份列表,並使用其中一個身份密鑰對該列表進行簽署。這些列表會儲存在 CloudKit 中,讓用户的裝置對於如何在彼此間安全地同步鑰匙圈資料達成共識。
為了與舊版 iCloud 裝置相容,系統會建立類似的同步信任圈,並形成另一個同步身份。同步身份的公用密鑰會置於信任圈中,該信任圈已經過兩次簽署:第一次由同步身份的專用密鑰簽署,第二次由用户 iCloud 帳户密碼所衍生的非對稱橢圓密鑰(使用 P-256)簽署。連同信任圈一起儲存的還有參數(隨機鹽值和反覆運算次數),用於製作以用户 iCloud 密碼為基礎的密鑰。
同步信任圈的 iCloud 儲存
對於雙重認證帳户,每部裝置的信任裝置列表都會儲存在 CloudKit 中。如果不知道用户的 iCloud 密碼,就無法讀取這些列表,而如果沒有該持有裝置的專用密鑰,就無法對這些列表進行修改。
同樣地,已簽署的同步信任圈會存放於用户的 iCloud 密鑰值儲存區域,如果不知道用户的 iCloud 密碼,就無法讀取該同步信任圈,而如果沒有該同步信任圈成員同步身份的專用密鑰,就無法進行有效修改。
用户的其他裝置如何加入到同步信任圈
新裝置在登入 iCloud 時,會透過以下兩種方式之一加入「iCloud 鑰匙圈」的同步信任圈:與現有「iCloud 鑰匙圈」裝置配對並由其贊助,或使用「iCloud 鑰匙圈」還原。
在配對流程中,申請裝置為同步信任圈和同步列表(用於雙重認證帳户)建立新的同步身份,並將其顯示給贊助者。贊助者會將新成員的公用密鑰加入到同步信任圈,並使用其同步身份和來自用户 iCloud 密碼的密鑰再次簽署。新的同步信任圈會置於 iCloud 中,該信任圈的新成員會以類似方式進行簽署。在雙重認證帳户中,贊助者裝置也會向加入的裝置提供由其身份密鑰簽署的憑證,表示應信任申請裝置。然後,其會更新其受信任同步身份的個別列表以納入申請者。
現在署名信任圈有兩個成員,並且每個成員擁有其同伴裝置的公用密鑰。他們現在開始透過 CloudKit 或 iCloud 密鑰值儲存空間來交換個別的鑰匙圈項目,或他們會儲存在 CloudKit 中(以最適用者為主)。如果兩個信任圈成員都對同一個項目進行更新,選擇其中一個或另一個,都會產生最終的一致性。每個同步的項目都會經過加密,因此只能由用户信任圈中的裝置進行解密;其他任何裝置或 Apple 均無法解密。
當新裝置加入同步信任圈時,請重複此「加入程序」。例如,當第三部裝置加入時,它可以與任何一部現有裝置進行配對。每當有新的同伴裝置加入,每部同伴裝置都會與新裝置進行同步。其設計用意是確保所有成員擁有相同的鑰匙圈項目。
只有特定項目會進行同步
部份鑰匙圈項目是用於特定裝置,例如 iMessage 密鑰,因此必須保留在裝置上。如要防止非預期的資料傳輸,每個要同步的項目都必須用 kSecAttrSynchronizable
屬性明確標示。
Apple 已經為 Safari 用户資料(包括用户名稱、密碼和信用卡卡號),以及 Wi-Fi 網絡密碼、HomeKit 加密密鑰和其他支援點對點 iCloud 加密的鑰匙圈項目設定了此屬性。
此外,依照預設,第三方 App 所加入的鑰匙圈項目不會進行同步。將項目加入到鑰匙圈時,開發者必須設定 kSecAttrSynchronizable
屬性。