![](https://help.apple.com/assets/6537FB06A074DBB5E802EA07/6537FB31280588A5490B6E1D/zh_HK/52d714626638d3391623c853be0c593b.png)
密碼
為了保護用户資料免受惡意攻擊,Apple 會在 iOS 和 iPadOS 中使用密碼,並在 macOS 中使用密碼。密碼越長,強度就越高,並且更容易阻止暴力密碼破解攻擊。為了進一步阻止攻擊,Apple 會強制執行時間延遲(適用於 iOS 和 iPadOS)和有限的密碼嘗試次數(適用於 Mac)。
在 iOS 和 iPadOS 中,設定裝置密碼,用户就會自動啟用「資料保護」。其他配備 Apple 系單晶片系統(SoC)的裝置(例如配備 Apple 晶片的 Mac、Apple TV 和 Apple Watch)也會啟用資料保護。在 macOS 中,Apple 則使用內置卷宗加密程序「檔案保險箱」。
高強度密碼和密碼如何加強保安
iOS 和 iPadOS 支援六位數、四位數和任意長度的英數字元密碼。除了用於解鎖裝置外,密碼還為特定加密密鑰提供熵。這表示攻擊者即使拿到裝置,在沒有密碼的情況下也無法存取特定保護類別中的資料。
密碼與裝置的 UID 之間有關聯性,所以只能在受攻擊的裝置上使用暴力破解法。因此,iOS 系統使用較大的反覆運算來延緩每次的嘗試。反覆運算計數已經過測定,每次嘗試會耗時約 80 毫秒。事實上,需要 5 年半以上的時間才能試完 6 位英數字元密碼(包含小寫字母和數字)的所有組合。
用户密碼的強度越高,加密密鑰就越堅固。且透過使用 Face ID 和 Touch ID,用户可製作一個更高強度的密碼同時又十分實用。較高強度的密碼增加了對用於「資料保護」的加密密鑰進行保護有效份量的熵,而且不會對一日中多次解鎖裝置的用户體驗產生負面影響。
如輸入較長的純數字密碼,鎖定畫面上會顯示數字鍵盤而非完整鍵盤。與較短的英數字密碼相比,較長的數字密碼更便於輸入,而且可提供類似的保安。
用户可在「設定」>「Touch ID 與密碼」或「Face ID 與密碼」選項中選取「自訂英數混合密碼」,來指定較長的英數字元密碼。
增加延遲時間如何阻止暴力密碼破解攻擊
在 iOS、iPadOS 和 macOS 中,為了進一步阻止暴力密碼的破解攻擊,系統會延長輸入無效密碼或 PIN 後的延遲時間(視乎裝置及其所處的狀態而定),如下表所示。
嘗試次數 | 3 | 4 | 5 | 6 | 7 | 8 | 9 | 10 或以上 |
---|---|---|---|---|---|---|---|---|
iOS 和 iPadOS 鎖定畫面 | 無 | 1 分鐘 | 5 分鐘 | 15 分鐘 | 1 小時 | 3 小時 | 8 小時 | 裝置會被停用,且必須連接 Mac 或 PC |
watchOS 鎖定畫面 | 無 | 1 分鐘 | 5 分鐘 | 15 分鐘 | 1 小時 | 3 小時 | 8 小時 | 裝置會被停用,且必須連接 iPhone |
macOS 登入視窗和鎖定畫面 | 無 | 1 分鐘 | 5 分鐘 | 15 分鐘 | 1 小時 | 3 小時 | 8 小時 | 8 小時 |
macOS 還原模式 | 無 | 1 分鐘 | 5 分鐘 | 15 分鐘 | 1 小時 | 3 小時 | 8 小時 | 請參閲下方的「在 macOS 中增加延遲時間如何阻止暴力密碼破解攻擊」 |
「檔案保險箱」及還原密鑰 (個人、機構或 iCloud) | 無 | 1 分鐘 | 5 分鐘 | 15 分鐘 | 1 小時 | 3 小時 | 8 小時 | 請參閲下方的「在 macOS 中增加延遲時間如何阻止暴力密碼破解攻擊」 |
macOS 遙距鎖定 PIN 碼 | 1 分鐘 | 5 分鐘 | 15 分鐘 | 30 分鐘 | 1 小時 | 1 小時 | 1 小時 | 1 小時 |
如果開啟了 iPhone 或 iPad 的「清除資料」選項(位於「設定」>「[Face ID] 與密碼」或「[Touch ID] 與密碼」),連續 10 次嘗試輸入密碼錯誤後,將從儲存區中移除所有內容和設定。連續嘗試同一個錯誤密碼不會計入限制。此設定還可透過支援此功能的流動裝置管理(MDM)解決方案和透過 Microsoft Exchange ActiveSync 作為管理規則,並可設定為較低的臨界值。
在配備「安全隔離區」的裝置上,「安全隔離區」會強制執行延遲。如裝置在定時延遲期間重新啟動,延遲仍會強制執行,但計時器會從目前期間重新開始。
在 macOS 中增加延遲時間如何阻止暴力密碼破解攻擊
為協助防止暴力密碼破解攻擊,當 Mac 啟動時,不能在「登入視窗」中嘗試輸入密碼 10 次以上,且密碼輸入錯誤特定次數後會增加延遲時間。延遲是由「安全隔離區」強制執行。如 Mac 在定時延遲期間重新啟動,延遲仍會強制執行,但計時器會從目前期間重新開始。
為協助防止惡意軟件藉由嘗試攻擊用户的密碼造成永久性資料遺失,在用户成功登入 Mac 後,就不會強制執行這些限制,但是會在重新啟動後再次實施。如輸入錯誤密碼已達 10 次,重新啟動進入 RecoveryOS 之後還可嘗試 10 次。如果這十次機會也用完,那麼每次「檔案保險箱」還原機制(iCloud 還原、「檔案保險箱」還原密鑰和其他機構密鑰)都會有 10 次機會,最多可嘗試 30 次。用盡那些機會後,「安全隔離區」將不會執行任何解密卷宗或驗證密碼的要求,且裝置上的資料將不可還原。
如要協助保護企業設定的資料,IT 人員應使用 MDM 來定義和強制執行「檔案保險箱」設定原則。機構有多個選項來管理加密的卷宗,包括機構還原密鑰、個人還原密鑰(可選擇以 MDM 儲存來進行託管),或將它們混合使用。密鑰轉換亦可設定為 MDM 中的原則。
在配備 Apple T2 安全晶片的 Mac 上,密碼的功能很類似,差別在於產生的密鑰是用於「檔案保險箱」加密而非「資料保護」。macOS 也提供額外的密碼還原選項:
iCloud 還原
「檔案保險箱」還原
「檔案保險箱」機構密鑰