![](https://help.apple.com/assets/6537FB06A074DBB5E802EA07/6537FB31280588A5490B6E1D/zh_HK/52d714626638d3391623c853be0c593b.png)
詞彙表
- 可抹除儲存空間
NAND 儲存區中專門用於儲存加密編譯密鑰的區域,可以直接定址和安全清除。如攻擊者實際持有裝置,可抹除儲存空間便無法提供保護,但其中的密鑰可以用作密鑰階層的一部份,以執行快速清除並提高保安。
- 地址空間配置隨機載入(ASLR)
作業系統使用的一項技術,可讓透過軟件漏洞肆虐的惡意程式成功率大幅降低。藉由確保記憶體地址和位移無法預測,入侵程式代碼便無法對這些值進行硬式編碼。
- 守衛
在 macOS 中,設計來協助確保用户的 Mac 上只會執行受信任的軟件。
- 安全儲存元件
晶片的設計包含無法更改的 RO 程式碼、硬件亂數產生器、加密編譯引擎,以及物理篡改偵測。在受支援的裝置上,「安全隔離區」會與「安全儲存元件」配對,以用於儲存反重播值。為讀取和更新反重播值,「安全隔離區」和儲存晶片會利用安全通訊協定,以協助確保反重播值的獨佔存取權。此技術已歷經多個世代更迭,提供不同的保安保證。
- 系統協同處理器完整保護(SCIP)
Apple 採用的機制,其設計用意是防止協同處理器韌體遭修改。
- 系統軟件授權
將內置硬件的加密編譯密鑰與網上服務合併的程序,以檢查只有來自 Apple 且合法、適用於受支援裝置的軟件才會被提供,以及在升級時安裝。
- 底層啟動程式(LLB)
在具有雙階段開機架構的 Mac 電腦上,LLB 會包括由 Boot ROM 呼叫的代碼,接着會載入 iBoot,作為安全啟動鏈的一部份。
- 直接記憶體存取(DMA)
可讓硬件子系統略過 CPU 直接存取主記憶體的功能。
- 指紋紋路角度對應
從指紋的一部份截取,描述紋路走向和寬度的數學表徵。
- 流動裝置管理(MDM)
讓管理員遙距管理已註冊裝置的服務。在裝置註冊後,管理員可透過網絡使用 MDM 服務來配置設定及執行其他操作,過程中無需與用户互動。
- 記憶體控制器
單晶片系統中的子系統,負責控制 SoC 與其主記憶體之間的介面。
- 配置描述檔
一個由 Apple 簽署的屬性列表(.plist 檔案),其中包含一組實體和授權,允許在 iOS 或 iPadOS 裝置上安裝並測試 App。開發配置描述檔會列出開發者選擇要用來臨機操作分發的裝置;分發配置描述檔中包含企業開發 App 的 App ID。
- 唯一晶片識別碼(ECID)
每部 iPhone 或 iPad 的處理器中的一個 64 位元唯一識別碼。
- 唯一識別碼(UID)
在製造過程便直接燒入每個處理器的 256 位元 AES 密鑰。唯一識別碼無法由韌體或軟件讀取,只能由處理器的硬件「AES 引擎」使用。如要取得實際密鑰,攻擊者必須裝載極為複雜且昂貴的實體攻擊來入侵處理器的晶片。UID 與裝置上的任何其他識別碼(包含但不限於 UDID)均無關聯。
- 密封密鑰保護(SKP)
「資料保護」中的一項技術,其會透過只能在硬件上取用的密鑰(例如「安全隔離區」的 UID)來保護(或密封)加密密鑰。
- 密碼衍生密鑰(PDK)
衍生密鑰,衍生自用户密碼與長期 SKP 密鑰和「安全隔離區」UID 的纏結。
- 密鑰封裝
使用一個密鑰來加密另一個密鑰。iOS 及 iPadOS 依照 RFC 3394 使用 NIST AES 密鑰封裝。
- 軟件種子位元
「安全隔離區 AES 引擎」中的專屬位元,從 UID 產生密鑰時會附加至 UID。每個軟件種子位元都有對應的鎖定位元。只要對應的鎖定位元尚未設定,「安全隔離區 Boot ROM」和作業系統便可獨立變更每個軟件種子位元的值。設定鎖定位元後,軟件種子位元和鎖定位元均無法修改。「安全隔離區」重新啟動時,軟件種子位元和其鎖定位元會被重設。
- 單晶片系統(SoC)
一種集成電路(IC),可將多重元件整合到單片晶片上。應用程式處理器、「安全隔離區」和其他協同處理器都是 SoC 的元件。
- 媒體密鑰
加密密鑰階層的一部份,有助提供安全及即時的清除。在 iOS、iPadOS、tvOS 和 watchOS 中,媒體密鑰會將資料卷宗上的後設資料封裝(因此不可能在沒有媒體密鑰的情況下取用所有檔案專屬密鑰,令受「資料保護」保護的檔案無法取用。)在 macOS 中,媒體密鑰會將密鑰材料、所有後設資料,和受「檔案保險箱」保護卷宗上的資料封裝。在這兩個情況中,清除媒體密鑰會令已加密的資料無法取用。
- 硬件安全模組(HSM)
專門用來防止竄改的電腦,可保護並管理電子密鑰。
- 統一可延伸韌體介面(UEFi)韌體
此技術了取代 BIOS,用於將韌體連接電腦的作業系統。
- 統一資源識別碼(URI)
一個可識別網頁式資源的字元字串。
- 開機切換
支援在受支援的 Mac 電腦上安裝 Microsoft Windows 的 Mac 工具程式。
- 開機進度暫存器(BPR)
一組單晶片系統(SoC)硬件旗標,讓軟件可用來追蹤裝置進入的開機模式,例如裝置韌體升級(DFU)模式和「還原」模式。「開機進度暫存器」旗標設定後就無法清除。這可讓之後的軟件取得系統狀態的信任指標。
- 集成電路(IC)
亦稱為微晶片。
- 群組織別碼(GID)
類似 UID,但同一類別中每個處理器的 GID 皆相同。
- 裝置韌體升級(DFU)模式
裝置的 Boot ROM 程式碼在等待透過 USB 還原時所處的模式。處於 DFU 模式時畫面為黑色,但在連接到正在執行 iTunes 或 Finder 的電腦時,便會顯示以下提示:「Finder(或 iTunes)偵測到一部在還原模式中的(iPhone 或 iPad)。如要與 Finder(或 iTunes)一同使用,用户必須還原此(iPhone 或 iPad)。」
- 資料保護
受支援的 Apple 裝置之檔案和鑰匙圈保護機制。也可以指 App 用來保護檔案和鑰匙圈項目的 API。
- 增強型序列周邊介面(eSPI)
針對同步序列通訊設計的多合一匯流排。
- 橢圓曲線 Diffie-Hellman Exchange Ephemeral(ECDHE)
以橢圓曲線為基礎的密鑰交換機制。ECDHE 允許兩方同意一個密鑰,同時防止觀察兩方之間訊息的竊聽者發現該密鑰。
- 橢圓曲線電子簽署算法(ECDSA)
以橢圓曲線加密技術為基礎的電子簽署算法。
- 輸入/輸出記憶體管理單元(IOMMU)
輸入/輸出記憶體管理單元。整合式晶片中的子系統,負責控制其他輸入/輸出裝置和周邊設備的地址空間存取。
- 檔案系統密鑰
用於加密每個檔案後設資料的密鑰,包含其類別密鑰。檔案系統密鑰會保存在可抹除儲存空間中,以可進行快速清除而非保密為目的。
- 檔案專屬密鑰
「資料保護」用來在檔案系統加密檔案的密鑰。檔案專屬密鑰由類別密鑰封裝,且儲存在檔案的後設資料內。
- 聯合測試工作群組(JTAG)
程式設計師和電路開發者使用的標準硬件除錯工具。
- 還原模式
如果無法識別用户的裝置,還原模式可用於還原許多 Apple 裝置,讓用户能重新安裝作業系統。
- 鑰匙圈
Apple 作業系統和第三方 App 用來儲存和取回密碼、密鑰和其他敏感性憑證的基礎架構和 API 組。
- AES 加密編譯引擎
實行 AES 的專屬硬件元件。
- AES-XTS
在 IEEE 1619-2007 中定義的 AES 模式,用於加密儲存空間媒體。
- AES(進階加密標準)
一種常見的全域加密標準,用於加密資料以確保私密性。
- APFS(Apple 檔案系統)
iOS、iPadOS、tvOS、watchOS 和使用 macOS 10.13 或較新版本的 Mac 電腦之預設檔案系統。APFS 提供高強度加密、空間共享、快照、快速調整目錄大小以及改良的檔案系統基礎。
- Apple 保安獎金
由 Apple 提供的獎勵,向報吿影響現行最新作業系統及最新硬件(如適用)的漏洞的研究員提供。
- Apple 推送通知服務(APNs)
由 Apple 提供的全球性服務,可傳送推送通知到 Apple 裝置。
- Apple 識別服務(IDS)
Apple 的 iMessage 公用密鑰、APNs 地址、電話號碼和電郵地址的目錄,用於查詢密鑰和裝置地址。
- Apple Business Manager
一個易於使用的入口網站,能提供快速、簡化的方式讓 IT 管理員部署機構直接購自 Apple 或與 Apple 合作之授權經銷商或電訊商的 Apple 裝置。他們可以在流動裝置管理(MDM)解決方案中自動註冊裝置,無須在用户取得前實際觸碰或準備裝置。
- Apple School Manager
一個易於使用的入口網站,能提供快速、簡化的方式讓 IT 管理員部署機構直接購自 Apple 或與 Apple 合作之授權經銷商或電訊商的 Apple 裝置。他們可以在流動裝置管理(MDM)解決方案中自動註冊裝置,無須在用户取得前實際觸碰或準備裝置。
- Boot ROM
裝置在第一次啟動時,由處理器所執行的第一個程式碼。作為處理器的其中一個必要部份,無論是 Apple 或攻擊者皆無法對其進行修改。
- CKRecord
這是包含儲存於或截取自 CloudKit 的成對密鑰值的字典。
- Data Vault
此機制由核心強制執行,可保護資料以防未經授權的存取,不論要求權限的 App 本身是否經過沙盒處理。
- HMAC
以加密編譯雜湊函數為基礎的雜湊式訊息驗證碼。
- iBoot
所有 Apple 裝置的第二階段開機裝載程式。用來載入 XNU 的代碼,作為安全啟動鏈的一部份。視乎單晶片系統(SoC)是第幾代,iBoot 可能由「底層啟動程式」載入或直接由 Boot ROM 載入。
- Keybag
用於儲存一組類別密鑰的資料結構。每種類型(用户、裝置、系統、備份、託管或「iCloud 備份」)的格式皆相同。
標頭包含以下內容:版本(在 iOS 12 或較新版本中設定為四)、類型(系統、備份、託管或「iCloud 備份」)、Keybag UUID、如果 Keybag 已簽署則包含 HMAC,以及用於封裝類別密鑰的方式:與 UID 或 PBKDF2,以及鹽值和反覆運算次數相配合。
類別密鑰列表:密鑰 UUID、類別(所屬的檔案或鑰匙圈資料保護類別)、封裝類型(僅限 UID 衍生密鑰、UID 衍生密鑰和密碼衍生密鑰)、封裝的類別密鑰,以及非對稱式類別的公用密鑰。
- NAND
非揮發性快閃記憶體。
- sepOS
「安全隔離區」韌體,採用 Apple 特製的 L4 microkernel 版本。
- SSD 控制器
管理儲存媒體(固態磁碟)的硬件子系統。
- Tangling
用户的密碼轉換為加密編譯密鑰,並使用裝置 UID 強化的過程。這程序可協助確保指定裝置必須使用暴力密碼攻擊才能破解,進而降低發生率,且可避免多部裝置同時受到攻擊。Tangling 演算法為 PBKDF2,使用 AES 密鑰配搭裝置 UID,作為每次反覆運算的偽隨機函式(PRF)。
- xART
eXtended 反重播技術的縮寫。是一組服務,運用實體儲存架構上的反重播功能,為「安全隔離區」提供經過加密和認證的持續儲存機制。請參閲:安全儲存元件。
- XNU
Apple 作業系統的中央核心。預設為受信任的狀態,且會強制執行安全措施,例如程式碼簽署、沙盒處理、授權檢查和地址空間佈局隨機化(ASLR)。
- XProtect
在 macOS 中,以簽署為基礎偵測和移除惡意軟件的防毒技術。